Njësia kërkimore e Inteligjencës së Kërcënimeve e NordVPN njofton se ka zbuluar një fushatë të sofistikuar phishing që synonte aplikantët për punë, duke u shtirur si disa nga kompanitë më të njohura në botë. Operacioni shfrytëzon emrat e gjigantëve globalë si Meta (dhe degët e saj, si Facebook dhe WhatsApp), Disney, Coca-Cola dhe Spotify për të vjedhur kredencialet e viktimave në Facebook dhe për të rrëmbyer llogaritë e tyre.
Hetimi zbuloi një operacion me shumë faza. Në të, sulmuesit përdorin domene të fshehura ("HUB"), mekanizma aktivizimi të lidhjeve referuese dhe ndërfaqe realiste të reklamave të punës për të udhëhequr viktimat përmes një rruge të ndërtuar me kujdes. Hapi i fundit i ridrejton ata në një faqe të rreme hyrjeje në Facebook, të projektuar për të kapur kredencialet e tyre.
“Kërkuesit e punës janë veçanërisht të prekshëm sepse janë mësuar tashmë të ndajnë informacione personale dhe të ndjekin udhëzime nga kontakte të panjohura”, thotë Domininkas Virbickas, drejtor produkti në NordVPN. “Këto fushata e shfrytëzojnë këtë besim duke përdorur komunikime të sofistikuara dhe portale bindëse të rreme karriere që janë praktikisht të padallueshme nga ato reale.”
Fushata fillon me një email të ftohtë, zakonisht të dërguar përmes shërbimeve legjitime si Google AppSheet për të anashkaluar filtrat e spamit. Këto mesazhe duken të rafinuara dhe profesionale, me gramatikë të përsosur dhe një ton që imiton qasjet reale të rekrutimit. Listat e kontakteve ka të ngjarë të jenë përpiluar përmes mbledhjes së automatizuar të të dhënave nga platforma si LinkedIn ose të marra nga shkelje të mëparshme të të dhënave.
Lidhja në email i drejton viktimat në një domen "HUB" (si p.sh. careers.meta-findyourjob[.]com). Këto faqe janë të dizajnuara me një mekanizëm të integruar shmangieje. Nëse dikush, qoftë një analist sigurie apo një skaner i automatizuar, viziton direkt domenin, ai do të shohë vetëm një faqe të përgjithshme, inerte pa funksionalitet interaktiv.
Kështu, përmbajtja keqdashëse aktivizohet vetëm kur faqja aksesohet nëpërmjet një lidhjeje specifike referimi të ngulitur në emailin e phishing-ut. Kjo lidhje referimi vepron si çelës, duke zhbllokuar një buton të klikueshëm "Kërko për një punë" që përndryshe do të mbetej i fshehur.
Sapo viktima klikon në link, ajo ridrejtohet në një domen ndërmjetës që simulon një portal pune legjitim. Ndërfaqja u lejon përdoruesve të shfletojnë njoftime pune në dukje të besueshme nga marka e rreme, duke përforcuar iluzionin se po marrin pjesë në një proces të vërtetë përzgjedhjeje.
Shembujt përfshijnë plus.jobfusion-mt[.]com dhe official.professionlaunch-mt[.]com për Meta-n, careers.coca-contactnow[.]info për Coca-Cola-n, connect.spotifycareerapply[.]com për Spotify dhe jobquest.wdcfuturesteps[.]com për Disney.
Kurthi mbyllet kur viktima klikon te “Apliko” ose “Dërgo aplikimin”. Në vend të një formulari aplikimi për punë, ata ridrejtohen në një faqe phishing që kërkon që ata të identifikohen nëpërmjet Facebook-ut për të “vazhduar me aplikimin”. Kjo faqe është projektuar për të kapur kredencialet e viktimës në Facebook, duke u dhënë sulmuesve kontroll të plotë të llogarisë dhe potencialisht të gjitha shërbimeve të lidhura me të.
Fushata nxjerr në pah një trend në rritje të sulmuesve që përdorin marka të besueshme dhe kontekste profesionale si armë për të anashkaluar skepticizmin natyror të viktimave. Meqenëse rrjedha e phishing imiton një proces të vërtetë rekrutimi me kaq saktësi, edhe përdoruesit e kujdesshëm mund të kapen në befasi.
NordVPN sugjeron tre veprime që përdoruesit duhet të ndërmarrin kur marrin çdo lloj email-i me vende të lira pune:
- Verifikoni URL-në përpara se të futni ndonjë kredencial. Kompanitë legjitime strehojnë faqe karriere në domenet e tyre zyrtare, jo në faqet e internetit të palëve të treta me emra të pazakontë. E njëjta gjë vlen edhe për kërkesat e hyrjes në mediat sociale. Butonat "Identifikohu me Facebook" në platformat legjitime do t'ju ridrejtojnë gjithmonë në domenin zyrtar facebook.com. Nëse faqja e hyrjes strehohet në një URL të panjohur, ka të ngjarë të jetë një përpjekje për mashtrim.
- Aktivizoni vërtetimin shumëfaktorësh (MFA) në të gjitha llogaritë e mediave sociale. Edhe nëse kredencialet janë të kompromentuara, 2FA mund t'i parandalojë sulmuesit të fitojnë akses.
- Mos u beso kurrë ofertave të pakërkuara të punës që mbërrijnë nëpërmjet email-it ose aplikacioneve të mesazheve, veçanërisht atyre që të bëjnë presion të veprosh shpejt.
Metodologjia:
Procesi hetimor përdori metodologji të inteligjencës me burim të hapur (OSINT) dhe nevojën që rrjedhimisht lindi për të vërtetuar dhe validuar të dhënat e marra nëpërmjet referencave të kryqëzuara.
Në veçanti, thelbi i strategjisë sonë të mbledhjes së të dhënave përfshinte përdorimin e "dorks"-eve specifike (vargje kërkimi të avancuara) të aplikuara në motorët kryesorë të kërkimit gjenerik, si dhe përdorimin e motorëve të specializuar të kërkimit për të indeksuar domenet, faqet e internetit dhe pajisjet e ekspozuara në internet. Ndër këto mjete të specializuara, ne përdorëm gjerësisht motorët e kërkimit për Internetin e Gjërave (IoT) dhe platformat e shërbimeve të ngjashme me Shodan, të tilla si Fofa.io dhe Shodan.io. Këto mjete na lejuan të identifikonim jo vetëm domenet, por edhe shërbimet dhe portet e ekspozuara, duke zbuluar dobësi të mundshme ose ekspozime të paqëllimshme.
Objektivi kryesor i kësaj metodologjie kërkimore të shtresuar ishte i dyfishtë:
- Për të marrë pamjen më të plotë dhe të plotë të mundshme të peizazhit të entiteteve dixhitale të përfshira.
- Për të identifikuar me saktësi domenet që janë kompromentuar në të vërtetë, duke shkuar përtej identifikimit të thjeshtë të domeneve teorikisht të cenueshme.
Kjo analizë e detajuar siguroi që përfundimet të bazoheshin në të dhëna të verifikuara dhe që perimetri i sistemeve të kompromentuara të përcaktohej me saktësinë më të madhe të mundshme.
