Исследовательская группа Cato CTRL Threat Research обнаружила новую фишинговую кампанию, в которой злоумышленники использовали платформу искусственного интеллекта Simplified AI для кражи корпоративных учетных данных. Атака, выявленная в июле 2025 года, была нацелена на американские организации, причем одна инвестиционная компания стала жертвой, однако угроза была своевременно нейтрализована.
Описание
Популярность маркетинговых платформ с искусственным интеллектом резко возросла, и такие сервисы, как Simplified AI, стали повседневными инструментами для создания контента и рекламных кампаний. Для руководителей информационной безопасности разрешение доступа к подобным платформам часто кажется стандартной процедурой: добавить домен в белый список и позволить командам работать. Однако в данном случае сама платформа, которой доверяют сотрудники, была использована для атаки.
В ходе кампании злоумышленники разместили фишинговую страницу на легитимном домене Simplified AI, что позволило им скрыть вредоносную активность среди обычного трафика. Они выдавали себя за исполнительного директора международной фармацевтической компании и рассылали письма с защищенным паролем PDF-документом. При открытии файла жертва перенаправлялась на сайт Simplified AI, который вместо генерации контента вел на поддельную страницу входа в Microsoft 365, предназначенную для сбора учетных данных.
Эта атака демонстрирует опасную тенденцию: киберпреступники сочетают социальную инженерию с фишингом, используя доверие к платформам искусственного интеллекта. Они больше не полагаются на подозрительные серверы или домены-имитации, а злоупотребляют репутацией и инфраструктурой доверенных сервисов, что позволяет обойти традиционные средства защиты.
Технические детали атаки включают несколько etap. Сначала злоумышленники отправляли письмо с защищенным PDF-вложением, что позволяло обойти автоматические сканеры безопасности. Пароль для открытия файла был указан в теле письма, чтобы упростить взаимодействие. Внутри документа находилась ссылка на платформу Simplified AI, которая перенаправляла пользователя на фишинговую страницу, имитирующую вход в Microsoft 365. Любые введенные учетные данные передавались злоумышленникам.
Данная кампания подчеркивает, что традиционные методы защиты неэффективны против атак, использующих доверенные платформы и социальную инженерию. Решение заключается в комплексном подходе, включающем глубокий анализ трафика, мониторинг поведения и проверку репутации ресурсов.
Индикаторы компрометации
IPv4
- 104.18.50.34
URLs
- http://app.simplified.com/preview/911e411b-6f9b-41d0-845f-0cc291d07c7e
- https://pub-6ea00088375b43ef869e692a8b2770d2.r2[.]dev/assets/php/endpoints/account.php
