Исследователи компании Hunt.io обнаружили активную фишинговую операцию, ориентированную на рыболовный, телекоммуникационный и страховой секторы Кувейта.
Описание
Кампания, начатая в начале 2025 года, продолжается по сей день и включает использование более 100 доменов для сбора учетных данных через клонированные порталы. Несмотря на разнообразие доменов, базовые серверы обладают общими техническими особенностями, что позволяет идентифицировать связанные активы и отслеживать развитие вредоносной инфраструктуры.
Изучение инфраструктуры выявило, что фишинговые операции сосредоточены вокруг трех основных серверов в Кувейте, где было обнаружено более 100 доменов, выдававших себя за организации из различных секторов. Большинство доменов находилось на определенных IP-адресах и часто размещались на одном сервере для повышения эффективности операции.
Исследователи отметили совпадения, такие как общие ключи аутентификации SSH и использование одной ASN, что позволяет определять связанные серверы и домены в рамках кампании. Было выявлено использование поддельных доменов, имитирующих известные компании в рыболовной и страховой сферах, а также страниц, симулирующих внешний вид интернет-магазинов.
Фишеры также ориентировались на клиентов Zain, включая фишинговые страницы, подделывающие данный оператор связи в Кувейте. Обнаруженные связанные серверы и домены формируют централизованную оперативную группу, указывающую на организованную деятельность в областях, расположенных в регионе Персидского залива.
Индикаторы компрометации
