Масштабная фишинг-атака Scanception: как злоумышленники используют QR-коды для кражи данных

phishing

В последние месяцы специалисты по кибербезопасности из Cyble обнаружили масштабную фишинговую кампанию под названием Scanception, в рамках которой злоумышленники активно используют QR-коды, встроенные в PDF-файлы, для обхода систем защиты, сбора учетных данных и уклонения от обнаружения. Атака остается активной и продолжает развиваться, затрагивая организации по всему миру.

Описание

Суть атаки и механизм работы

Кампания Scanception начинается с рассылки фишинговых писем, содержащих вложения в формате PDF. Эти файлы имитируют официальные документы, такие как корпоративные руководства, уведомления от HR-отдела или финансовые отчеты. Внутри документа жертве предлагается отсканировать QR-код, якобы для получения дополнительной информации или доступа к важному ресурсу.

Электронная почта-приманка для справочника сотрудников

Главная опасность заключается в том, что этот метод позволяет злоумышленникам обходить традиционные системы защиты электронной почты и антивирусные решения, поскольку сам вредоносный контент загружается на личное мобильное устройство жертвы, которое обычно не контролируется корпоративными системами безопасности.

Социальная инженерия и целевое воздействие

Фишинговые письма Scanception отличаются высоким уровнем детализации и убедительности. Злоумышленники тщательно подбирают темы и оформление, чтобы максимально точно имитировать реальные корпоративные коммуникации. Например, распространены PDF-файлы, оформленные как HR-документы с логотипами компаний, таблицами содержания и профессиональным дизайном.

PDF-документ-приманка

Кампания ориентирована на организации из различных отраслей, включая технологии, здравоохранение, производство и финансовый сектор. При этом атаки носят глобальный характер: наиболее активны злоумышленники в Северной Америке, Европе, Ближнем Востоке, Африке (EMEA) и Азиатско-Тихоокеанском регионе (APAC).

Технические детали и методы обхода защиты

После сканирования QR-кода жертва перенаправляется на фишинговый сайт, который имитирует легитимные сервисы, такие как страницы входа в Microsoft 365. Эти страницы оснащены механизмами противодействия автоматическому анализу: например, они могут определять использование инструментов, таких как Selenium или Burp Suite, и блокировать их работу.

Кроме того, фишинговые страницы собирают не только логины и пароли, но и дополнительную информацию, включая отпечаток браузера (fingerprinting). Если у пользователя включена двухфакторная аутентификация (2FA), злоумышленники могут перехватывать одноразовые коды, используя методы атаки «злоумышленник посередине» (Adversary-in-the-Middle, AITM).

Для маскировки своей деятельности злоумышленники активно используют легитимные сервисы, такие как YouTube, Google, Bing и Medium, перенаправляя через них трафик, что затрудняет обнаружение вредоносных URL-адресов.

Статистика и масштабы угрозы

По данным исследователей, за последние три месяца было обнаружено более 600 уникальных фишинговых PDF-файлов, причем 80% из них не детектировались VirusTotal на момент анализа. Это свидетельствует о высокой эффективности методов, используемых в рамках кампании Scanception.

Кампания Scanception демонстрирует, насколько эффективными могут быть атаки, использующие социальную инженерию и обход традиционных средств защиты. В условиях, когда злоумышленники продолжают совершенствовать свои методы, только осведомленность и комплексный подход к безопасности помогут минимизировать риски.

Индикаторы компрометации

Комментарии: 0