Специалисты компании Push Security получили доступ к панели управления фишинговыми кампаниями, которая активно применяется в комбинированных атаках, сочетающих голосовой фишинг (вишинг) и перехват сессий. Исследование показало, что этот инструмент, изначально созданный для узкого круга операторов, теперь распространяется среди множества злоумышленников, а его модификации указывают на активное использование больших языковых моделей (LLM) даже неопытными разработчиками. Масштаб угрозы подтверждается более чем четырьмя сотнями доменов, связанных с атаками, и громкими утечками данных, включая инциденты в SoundCloud, Match Group, Betterment и Crunchbase.
Описание
С августа прошлого года злоумышленники, приписываемые группировкам ShinyHunters и BlackFile, проводят гибридные кампании социальной инженерии. Их цели - сотни организаций из финансового сектора, сферы технологий, криптовалют, здравоохранения, гостиничного бизнеса и частной авиации. Атака начинается с телефонного звонка, в котором мошенник, подделывая номер техподдержки компании, убеждает жертву перейти по фишинговой ссылке. Обычно домен строится по шаблону вида my<название_компании>internal[.]com. На странице запускается механизм, который позволяет оператору в реальном времени управлять действиями жертвы: перехватывать введённые пароли, одноразовые коды из SMS или push-уведомлений, а затем угонять аутентифицированную сессию. После этого взломщики перемещаются по связанным облачным сервисам - SharePoint, Salesforce, DocuSign, Slack - и вымогают выкуп за неразглашение украденных данных.
Исследователи выявили несколько вариантов панели, центральной из которых является так называемая "Панель Доко" (Doko’s Panel), названная по псевдониму разработчика в Telegram. Эта панель позволяет атаковать пользователей Google, Microsoft Entra, Okta и популярных криптовалютных бирж. Её работа построена на клиентском JavaScript-файле, который каждую секунду отправляет на сервер запросы с данными о странице и браузере жертвы. Ответ сервера может перенаправить пользователя на подложную страницу ввода учётных данных или на страницу подтверждения многофакторной аутентификации (MFA). Примечательно, что в большинстве развёртываний панель не требует аутентификации для доступа к административному интерфейсу - любой, кто знает адрес, может увидеть журнал подключённых жертв и управлять ими.
Инструмент начал распространяться за пределы первоначальных операторов. Были найдены форки с собственными брендами: "Панель Лорда Менсиуса" (Lord Mensius's Panel), нацеленная на криптовалютную платформу Koinly, и панель под названием "$$$", имитирующая Австралийскую налоговую службу. Это свидетельствует о том, что исходный код попал в руки широкого круга киберпреступников, которые адаптируют его под свои нужды.
Особый интерес представляет вариант, который исследователи назвали "heartbeat/check_redirect". В нём клиентская часть отправляет два типа запросов: "сердцебиение" и проверку перенаправления. Причём из-за неаккуратного копирования функций один и тот же скрипт выполняется дважды - встроенным в HTML кодом и отдельным файлом. Такая избыточность указывает на низкую квалификацию разработчика, который, вероятно, использовал большую языковую модель (LLM) для модификации панели. Подтверждением служат многочисленные комментарии в коде, которые обычно не пишут люди: заголовки вроде "Заметки для следующей сессии" и подробные описания, типичные для диалога с нейросетью. Аналитики назвали этот феномен "виб-кодингом" - когда оператор, не понимая архитектуры, просто копирует сгенерированный нейросетью код, что ведёт к ошибкам и дублированию.
На основе анализа инфраструктуры и технических признаков выделены четыре основных кластера, которые, хотя и используют общее наследие панели, действуют независимо друг от друга. Кластер А совпадает с группировкой UNC6661 (по данным Mandiant), которой приписывают взломы, совершённые ShinyHunters. Он использует домены по шаблону my<цель>internal.com и хостинг Mevspace. Кластер B, ассоциируемый с BlackFile, применяет вариант heartbeat и регистрирует домены через Tucows с хостингом Njalla. Кластер C - вероятная эволюция кластера B, перешедшая на защиту Cloudflare Turnstile и поддомены с общими словами вроде "passkey" или "okta". Кластер D - недавний малоактивный вариант, использующий минифицированный код и хостинг Cloudflare.
В своём отчёте Push Security подчёркивает, что снижение порога входа в такие атаки делает их доступными даже для неопытных злоумышленников. Сочетание вишинга с ручным перехватом сессий обходит стандартные почтовые фильтры, а использование легитимных сервисов для размещения инфраструктуры затрудняет блокировку. Единственный надёжный способ защиты - обнаружение вредоносной страницы на конечном этапе цепочки, независимо от способа доставки ссылки. Организациям рекомендуется внедрять поведенческий анализ в браузере и обучать сотрудников распознавать звонки от якобы техподдержки с просьбой перейти по ссылке для "сброса пароля" или "обновления безопасности". Учитывая, что аналогичные кампании уже привели к утечкам десятков миллионов записей, игнорировать эту угрозу больше нельзя.
