Злоумышленники все чаще используют DNS для эффективных кибератак. Недавно был обнаружен фишинговый набор, который использует записи почтового обмена (MX) DNS, чтобы динамически подменять страницы входа в систему и поддельные веб-сайты. Этот набор фишинга был использован для подделки более 100 брендов. Злоумышленники также используют открытые редиректы и компрометированные домены для распространения фишинга и передачи украденных данных через различные каналы, включая Telegram.
Описание
По анализу тактик, методов и процедур (TTP), а также длительному использованию этих фишинговых наборов, предполагается, что атаки исходят от платформы "фишинг как услуга" (PhaaS), и агент, ответственный за эти кампании, называется "Morphing Meerkat". Несмотря на некоторые изолированные отчеты об этой деятельности, платформа Morphing Meerkat и методика использования записей MX в DNS уже несколько лет не привлекали должного внимания.
Структура кода фишинговых наборов выдает их происхождение и эволюцию со временем. В начале наборы могли подделывать только пять почтовых брендов и использовать только английский текст. Однако с течением времени количество брендов и языков, на которых работают наборы, значительно увеличилось. Сейчас мы видим 114 различных брендов и возможность динамического перевода текста на более чем дюжине языков.
Платформа PhaaS, используя "Morphing Meerkat", активно рассылает спам-письма, содержащие вредоносные ссылки, многим пользователям в том числе и высокопоставленным специалистам. При переходе на фишинговую страницу взаимодействие с жертвой зависит от настроек фишингового набора. Некоторые продвинутые наборы могут динамически подбирать контент в зависимости от профиля пользователей.
Эта платформа PhaaS предлагает мощные сервисы, такие как массовая рассылка спама, обход традиционных систем безопасности и динамическое обслуживание фишинговых страниц с помощью записей MX в DNS. Она также использует взломанные сайты WordPress, уязвимости редиректов и сильно обфусцированный код для маскировки фишингового контента и избегания обнаружения.
Платформа "Morphing Meerkat" является одной из передовых и успешных средств для проведения широкомасштабных фишинговых кампаний, предоставляя возможности как техническим, так и нетехническим киберпреступникам. В следующих разделах отчета описываются его техники и инструменты для обхода защиты электронной почты, анализа веб-профилей и масштабных спам-кампаний, а также детали атак Morphing Meerkat. Важно, чтобы организации и пользователи были более бдительны и принимали меры для защиты себя от таких фишинговых атак.
Indicators of Compromise
