L-unità tar-riċerka dwar l-Intelliġenza tat-Theddid ta' NordVPN ħabbret li skopriet kampanja sofistikata ta' phishing immirata lejn applikanti għax-xogħol, li timpersonifika wħud mill-aktar kumpaniji rikonoxxuti fid-dinja. L-operazzjoni tisfrutta l-ismijiet ta' ġganti globali bħal Meta (u s-sussidjarji tagħha, bħal Facebook u WhatsApp), Disney, Coca-Cola, u Spotify biex tisraq il-kredenzjali ta' Facebook tal-vittmi u tisraq il-kontijiet tagħhom.
L-investigazzjoni żvelat operazzjoni b'diversi stadji. Fiha, l-attakkanti jużaw dominji moħbija ("HUBs"), mekkaniżmi ta' attivazzjoni ta' links ta' riferiment, u interfaċċji realistiċi ta' reklami ta' xogħol biex jiggwidaw lill-vittmi permezz ta' mogħdija mibnija bir-reqqa. L-aħħar pass jidderieġihom lejn paġna falza ta' login ta' Facebook, iddisinjata biex taqbad il-kredenzjali tagħhom.
“Dawk li qed ifittxu xogħol huma partikolarment vulnerabbli għax diġà huma mdorrijin jaqsmu informazzjoni personali u jsegwu struzzjonijiet minn kuntatti mhux magħrufa,” jgħid Domininkas Virbickas, direttur tal-prodott f’NordVPN. “Dawn il-kampanji jisfruttaw din il-fiduċja billi jużaw komunikazzjonijiet sofistikati u portali foloz tal-karrieri konvinċenti li huma prattikament indistinguibbli minn dawk reali.”
Il-kampanja tibda b'email bla ħlas, ġeneralment mibgħuta permezz ta' servizzi leġittimi bħal Google AppSheet biex tevita l-filtri tal-ispam. Dawn il-messaġġi jidhru raffinati u professjonali, b'grammatika impekkabbli u ton li jimita approċċi ta' reklutaġġ reali. Il-listi ta' kuntatti x'aktarx huma kkumpilati permezz ta' ġbir awtomatizzat ta' dejta minn pjattaformi bħal LinkedIn jew miksuba minn ksur ta' dejta preċedenti.
Il-link fl-email jidderieġi lill-vittmi lejn dominju "HUB" (bħal careers.meta-findyourjob[.]com). Dawn is-siti huma ddisinjati b'mekkaniżmu ta' evażjoni integrat. Jekk xi ħadd, kemm jekk analista tas-sigurtà jew skaner awtomatizzat, iżur id-dominju direttament, se jara biss paġna ġenerika u inerti mingħajr funzjonalità interattiva.
Għalhekk, il-kontenut malizzjuż jiġi attivat biss meta s-sit jiġi aċċessat permezz ta' link ta' riferiment speċifiku inkorporat fl-email ta' phishing. Dan il-link ta' riferiment jaġixxi bħala ċavetta, li tiftaħ buttuna "Fittex xogħol" li tista' tikklikkja fuqha u li altrimenti tibqa' moħbija.
Hekk kif il-vittma tikklikkja fuq il-link, tiġi ridiretta lejn dominju intermedjarju li jissimula portal tax-xogħol leġittimu. L-interfaċċja tippermetti lill-utenti jibbrawżjaw postijiet tax-xogħol li jidhru affidabbli mill-marka falza, u b'hekk issaħħaħ l-illużjoni li qed jipparteċipaw fi proċess ta' selezzjoni reali.
Eżempji jinkludu plus.jobfusion-mt[.]com u official.professionlaunch-mt[.]com għal Meta, careers.coca-contactnow[.]info għal Coca-Cola, connect.spotifycareerapply[.]com għal Spotify, u jobquest.wdcfuturesteps[.]com għal Disney.
In-nassa tingħalaq meta l-vittma tikklikkja fuq “Applika” jew “Ibgħat applikazzjoni.” Minflok formola ta’ applikazzjoni għax-xogħol, jiġu ridiretti lejn paġna ta’ phishing li teħtieġ li jidħlu permezz ta’ Facebook biex “jipproċedu bl-applikazzjoni.” Din il-paġna hija mfassla biex taqbad il-kredenzjali ta’ Facebook tal-vittma, u tagħti lill-attakkanti kontroll sħiħ tal-kont u potenzjalment tas-servizzi kollha marbuta miegħu.
Il-kampanja tenfasizza xejra dejjem tikber ta’ attakkanti li jużaw marki fdati u kuntesti professjonali bħala armi biex jevitaw ix-xettiċiżmu naturali tal-vittmi. Minħabba li l-fluss tal-phishing jimita proċess ta’ reklutaġġ reali b’mod tant preċiż, anke utenti kawti jistgħu jinqabdu fuq sieq waħda.
NordVPN tissuġġerixxi tliet azzjonijiet li l-utenti għandhom jieħdu meta jirċievu kwalunkwe tip ta’ email b’postijiet tax-xogħol vakanti:
- Ivverifika l-URL qabel ma ddaħħal xi kredenzjali. Kumpaniji leġittimi jospitaw paġni tal-karrieri fuq id-dominji uffiċjali tagħhom, mhux fuq websajts ta’ partijiet terzi b’ismijiet mhux tas-soltu. L-istess japplika għal talbiet ta’ login fuq il-midja soċjali. Il-buttuni “Idħol b’Facebook” fuq pjattaformi leġittimi dejjem jidderieġuk lejn id-dominju uffiċjali ta’ facebook.com. Jekk il-paġna tal-login hija ospitata fuq URL mhux magħruf, x’aktarx li huwa tentattiv ta’ phishing.
- Ippermetti l-awtentikazzjoni b'ħafna fatturi (MFA) fuq il-kontijiet kollha tal-midja soċjali. Anke jekk il-kredenzjali jiġu kompromessi, 2FA jista' jipprevjeni lill-attakkanti milli jiksbu aċċess.
- Qatt m'għandek tafda offerti ta' xogħol mhux mitluba li jaslu permezz tal-email jew apps tal-messaġġi, speċjalment dawk li jagħmlu pressjoni fuqek biex taġixxi malajr.
Metodoloġija:
Il-proċess investigattiv uża metodoloġiji ta' intelligence minn sors miftuħ (OSINT) u l-ħtieġa konsegwenti li d-dejta miksuba permezz ta' referenza inkroċjata tiġi kkoroborata u vvalidata.
B'mod partikolari, il-qalba tal-istrateġija tagħna għall-ġbir tad-dejta inkludiet l-użu ta' "dorks" (strings ta' tiftix avvanzati) speċifiċi applikati għal magni tat-tiftix ġeneriċi ewlenin, kif ukoll l-użu ta' magni tat-tiftix speċjalizzati biex jindiċizzaw dominji, websajts, u apparati esposti fuq l-internet. Fost dawn l-għodod speċjalizzati, għamilna użu estensiv ta' magni tat-tiftix għall-Internet tal-Oġġetti (IoT) u pjattaformi ta' servizz simili għal Shodan, bħal Fofa.io u Shodan.io. Dawn l-għodod ippermettewlna nidentifikaw mhux biss id-dominji iżda wkoll is-servizzi u l-portijiet esposti, u żvelaw vulnerabbiltajiet potenzjali jew espożizzjonijiet mhux intenzjonati.
L-għan ewlieni ta’ din il-metodoloġija ta’ riċerka f’saffi kien doppju:
- Biex tinkiseb l-aktar stampa eżawrjenti u kompluta possibbli tal-pajsaġġ tal-entitajiet diġitali involuti.
- Biex jiġu identifikati b'mod preċiż id-dominji li fil-fatt ġew kompromessi, li jmorru lil hinn milli sempliċement jidentifikaw dominji teoretikament vulnerabbli.
Din l-analiżi dettaljata żgurat li l-konklużjonijiet kienu bbażati fuq dejta verifikata u li l-perimetru tas-sistemi kompromessi ġie delineat bl-akbar preċiżjoni possibbli.
