Green Proxy: AiTM-кит обходит фильтры двумя письмами и продаёт доступ

По данным Raiku Solutions, это платформа «фишинг как услуга». Доступ к панели выдаётся по лицензиям формата GPKEY, сам кабинет выглядит обыденно: логин, пароль, ключ. Ничего экзотического - и именно поэтому кит долго не попадал в поле зрения публичных сканеров.

Атака начинается без ссылок и вложений. Первое письмо приходит с реального скомпрометированного ящика, тема - запрос коммерческого предложения. Почтовый фильтр не находит подозрительных объектов, потому что искать нечего. Если получатель отвечает, приходит второе письмо: та же ветка в теме, но уже другой адрес отправителя. Домен подписан собственным DKIM и имитирует реальную компанию, поэтому проверка подлинности проходит. В октябре и ноябре задействовали четыре ящика японских компаний на одном сервере.

Ссылка ведёт на легитимный endpoint Microsoft. Два параметра запроса на авторизацию заставляют сервис отдать адрес возврата атакующих даже при ошибке - жертва видит привычное окно входа. Между Microsoft и «дверью» кита стоит скомпрометированный сайт небольшой компании: он придаёт цепочке правдоподобный вид.

«Дверь» решает, кому показывать фишинг. Ботов и сканеры она отправляет на крупные публичные сайты, а человека пропускает дальше. Проверка посетителя опирается на доказательство работы и оценку поведения: отдельный запрос отвечает за обнаружение песочниц, ещё один - против инструментов разработчика. Прошедший отбор получает cookie на семь дней, и повторные заходы уже обходятся без проверок.

Собственную captcha кит вынес на отдельный домен. В разметке панели при этом остался ключ hCaptcha, хотя сама hCaptcha отключена - похоже, кит собрали из чужого шаблона и не дочистили. Успешные переходы идут через одноразовые ссылки к прокси-серверам входа Microsoft на поддоменах стороннего домена.

Разметка панели совпадала во всех публичных сканах с апреля по ноябрь 2026 года. По хешу логотипа исследователи нашли более раннюю панель с похожим названием, у неё было 23 поддомена. Связать Green Proxy с оператором Mirai авторы не берутся: инфраструктура пересекается, но подтверждений общей руки нет. В саму панель они не входили, поэтому как кит распоряжается перехваченными сеансами, не установлено. Полные наборы данных, правила YARA и STIX-пакеты опубликованы отдельным репозиторием. Сколько организаций успело пострадать и сколько лицензий реально продано, по-прежнему неизвестно.

Для охоты в почте стоит искать ссылки на /oauth/authorize с параметрами prompt=none или id_token_hint, которые перенаправляют на другой домен. В веб-журналах признаками служат POST-запросы к /.verify, /.detect и /.devtools, обращения к порту 8443 с путями /captcha/api и /captcha/verify, а также cookie _vfy. Полезно проверять новые поддомены через Certificate Transparency и сканировать HTML панели по хешу. В отчёте также опубликованы три правила YARA и STIX-пакеты для автоматической проверки инфраструктуры. Автоматическая проверка инфраструктуры помогает быстрее находить новые панели, но не заменяет ручную проверку фишинговых писем.