Истраживачка јединица NordVPN-а за претње објављује да је открила софистицирану фишинг кампању усмерену на кандидате за посао, која се представља као неке од најпризнатијих светских компанија. Операција искоришћава имена глобалних гиганата као што су Мета (и њене подружнице, попут Фејсбука и Вотсапа), Дизни, Кока-Кола и Спотифај како би украла Фејсбук акредитиве жртава и отела њихове налоге.
Истрага је открила вишестепену операцију. У њој, нападачи користе скривене домене („HUB-ове“), механизме за активацију рефералних линкова и реалистичне интерфејсе огласа за посао како би водили жртве кроз пажљиво конструисану путању. Последњи корак их преусмерава на лажну Фејсбук страницу за пријаву, дизајнирану да прикупи њихове акредитиве.
„Тражитељи посла су посебно рањиви јер су већ навикли да деле личне податке и прате упутства непознатих контаката“, каже Домининкас Вирбицкас, директор производа у NordVPN-у. „Ове кампање злоупотребљавају ово поверење користећи софистицирану комуникацију и убедљиве лажне портале за каријеру који се практично не разликују од правих.“
Кампања почиње хладним имејлом, обично послатим путем легитимних сервиса попут Google AppSheet-а како би се заобишли филтери за спам. Ове поруке делују углађено и професионално, са беспрекорном граматиком и тоном који опонаша стварне приступе регрутовању. Листе контаката се вероватно састављају путем аутоматизованог прикупљања података са платформи попут LinkedIn-а или добијених из претходних кршења података.
Линк у имејлу усмерава жртве на „HUB“ домен (као што је careers.meta-findyourjob[.]com). Ови сајтови су дизајнирани са уграђеним механизмом за избегавање. Ако неко, било да је безбедносни аналитичар или аутоматизовани скенер, посети директно домен, видеће само генеричку, инертну страницу без интерактивне функционалности.
Дакле, злонамерни садржај се активира само када се сајту приступи преко одређеног рефералног линка уграђеног у фишинг имејл. Овај реферални линк делује као кључ, откључавајући дугме „Претражи посао“ на које се може кликнути, а које би иначе остало скривено.
Чим жртва кликне на линк, преусмерава се на посреднички домен који симулира легитимни портал за посао. Интерфејс омогућава корисницима да прегледају наизглед поуздане огласе за посао лажног бренда, појачавајући илузију да учествују у стварном процесу селекције.
Примери укључују plus.jobfusion-mt[.]com и official.professionlaunch-mt[.]com за Мета, careers.coca-contactnow[.]info за Кока-Колу, connect.spotifycareerapply[.]com за Спотифај и jobquest.wdcfuturesteps[.]com за Дизни.
Замка се затвара када жртва кликне на „Пријави се“ или „Пошаљи пријаву“. Уместо обрасца за пријаву за посао, преусмерава се на фишинг страницу која захтева да се пријави преко Фејсбука како би „наставила са пријавом“. Ова страница је дизајнирана да ухвати Фејсбук акредитиве жртве, дајући нападачима потпуну контролу над налогом и потенцијално свим услугама повезаним са њим.
Кампања истиче растући тренд нападача који користе поуздане брендове и професионалне контексте као оружје за заобилажење природног скептицизма жртава. Пошто ток фишинга тако прецизно опонаша прави процес регрутовања, чак и опрезни корисници могу бити затечени неспремни.
NordVPN предлаже три радње које корисници треба да предузму када приме било коју врсту е-поште са отвореним пословима:
- Проверите URL пре него што унесете било какве акредитиве. Легитимне компаније хостују странице за каријеру на својим званичним доменима, а не на веб-сајтовима трећих страна са необичним именима. Исто важи и за захтеве за пријаву на друштвеним мрежама. Дугмад „Пријавите се помоћу Фејсбука“ на легитимним платформама ће вас увек преусмерити на званични домен facebook.com. Ако се страница за пријаву хостује на непознатом URL-у, вероватно је у питању покушај фишинга.
- Омогућите вишефакторску аутентификацију (MFA) на свим налозима друштвених медија. Чак и ако су акредитиви угрожени, 2FA може спречити нападаче да добију приступ.
- Никада не верујте непожељним понудама за посао које стижу путем имејла или апликација за размену порука, посебно онима које вас присиљавају да брзо реагујете.
Методологија:
У истражном процесу коришћене су методологије обавештајних података отвореног извора (OSINT) и последична потреба за потврђивањем и валидацијом података добијених унакрсним референцама.
Конкретно, суштина наше стратегије прикупљања података укључивала је употребу специфичних „доркова“ (напредних низова за претрагу) примењених на главне генеричке претраживаче, као и употребу специјализованих претраживача за индексирање домена, веб локација и уређаја изложених на интернету. Међу овим специјализованим алатима, интензивно смо користили претраживаче за Интернет ствари (IoT) и сервисне платформе сличне Shodan-у, као што су Fofa.io и Shodan. Ови алати су нам омогућили да идентификујемо не само домене већ и изложене сервисе и портове, откривајући потенцијалне рањивости или ненамерне изложености.
Главни циљ ове слојевите методологије истраживања био је двострук:
- Да би се добио што исцрпнији и потпунији увид у пејзаж укључених дигиталних ентитета.
- Да би се прецизно идентификовали домени који су заиста угрожени, потребно је ићи даље од пуке идентификације теоретски рањивих домена.
Ова детаљна анализа је осигурала да су закључци засновани на провереним подацима и да је периметар угрожених система дефинисан са највећом могућом прецизношћу.
