Злоумышленники все чаще используют DNS для эффективных кибератак. Недавно был обнаружен фишинговый набор, который использует записи почтового обмена (MX) DNS, чтобы динамически подменять страницы входа в систему и поддельные веб-сайты. Этот набор фишинга был использован для подделки более 100 брендов. Злоумышленники также используют открытые редиректы и компрометированные домены для распространения фишинга и передачи украденных данных через различные каналы, включая Telegram.
Описание
По анализу тактик, методов и процедур (TTP), а также длительному использованию этих фишинговых наборов, предполагается, что атаки исходят от платформы "фишинг как услуга" (PhaaS), и агент, ответственный за эти кампании, называется "Morphing Meerkat". Несмотря на некоторые изолированные отчеты об этой деятельности, платформа Morphing Meerkat и методика использования записей MX в DNS уже несколько лет не привлекали должного внимания.
Структура кода фишинговых наборов выдает их происхождение и эволюцию со временем. В начале наборы могли подделывать только пять почтовых брендов и использовать только английский текст. Однако с течением времени количество брендов и языков, на которых работают наборы, значительно увеличилось. Сейчас мы видим 114 различных брендов и возможность динамического перевода текста на более чем дюжине языков.
Платформа PhaaS, используя "Morphing Meerkat", активно рассылает спам-письма, содержащие вредоносные ссылки, многим пользователям в том числе и высокопоставленным специалистам. При переходе на фишинговую страницу взаимодействие с жертвой зависит от настроек фишингового набора. Некоторые продвинутые наборы могут динамически подбирать контент в зависимости от профиля пользователей.
Эта платформа PhaaS предлагает мощные сервисы, такие как массовая рассылка спама, обход традиционных систем безопасности и динамическое обслуживание фишинговых страниц с помощью записей MX в DNS. Она также использует взломанные сайты WordPress, уязвимости редиректов и сильно обфусцированный код для маскировки фишингового контента и избегания обнаружения.
Платформа "Morphing Meerkat" является одной из передовых и успешных средств для проведения широкомасштабных фишинговых кампаний, предоставляя возможности как техническим, так и нетехническим киберпреступникам. В следующих разделах отчета описываются его техники и инструменты для обхода защиты электронной почты, анализа веб-профилей и масштабных спам-кампаний, а также детали атак Morphing Meerkat. Важно, чтобы организации и пользователи были более бдительны и принимали меры для защиты себя от таких фишинговых атак.
Indicators of Compromise
IPv4
- 107.173.166.107
- 109.200.24.11
- 122.183.248.102
- 173.224.126.37
- 175.9.54.154
- 185.117.90.212
- 185.209.161.155
- 185.229.66.117
- 194.169.172.188
- 45.133.174.25
- 5.230.209.74
- 5.230.210.77
Domains
- 2030aguitamex.com.mx
- 21centurymedia.com
- 24x7bus.com
- 2ur.jp
- 364prm.com
- 476b97da2611984.ru
- 4802cld.top
- 4xweb.info
- 78130.org
- 8020mktg.com
- a1congruop.com
- aabndm1.sa.com
- aamirsinteractivetechnology.com
- aazamzandi.com
- abid1.ru.com
- aboutlove.co.in
- abtradebd.com
- abv-59.top
- accountscorowagolfclub.online
- acctcheck.top
- aceandra.top
- acentivo.top
- acoscize.top
- adeilous.top
- adhesivestopbonds.online
- adimart.xyz
- adminsupport.pro
- admin-sysserv.pro
- advmpa.com.br
- aet--group.com
- afingenieria.cl
- afloattraders.com
- afogaradas.za.com
- aisiren.top
- ajmoversandpackers.com
- akrd.net
- aktifeticaret.com
- alayeforeg.com
- aldiyarsmart.com
- alexistravels.co.uk
- alfadubai.info
- alfeizarias.ru.com
- alieveta.top
- alkoukhonline.com
- allteamsd0cumentv0ip.ru
- alphaoil.uz
- alsafeerhajumra.com
- amancarrental.com
- amaptysbio.com
- amazndlz.com
- ameto.cfd
- amirhabibi.org
- ampkupagoda127.site
- ampnmaxxpagoda127.site
- andersonsilva.art
- andesmu.com
- angelpllants.com
- anime-manga-manhwa.com
- ankaraakasyahaliyikama.com
- ankitadigitalwave.in
- anvatmyhoa.com
- aqua-clean.website
- arsburo.ru
- arunikakreasi.com
- ascup.pro
- asiatechsoruce.com
- asmacron.top
- aspador.org.br
- astercol.top
- atilayelektronik.com.tr
- atlantic-ridgefinance.com
- attemeah.top
- aucqfz4.sa.com
- authenticationaction.online
- authsec-scur1.com
- auth-secureadmin.work
- auth-serv-s1.ru
- avaasa.com.mx
- avervesk.top
- avgs1982.com
- aviareps.org
- bacaladilla.sa.com
- bakingitems.pk
- baluktot.com
- bavirez.ru.com
- bcaclnigeria.com
- bcoterceirizacao.com.br
- beatrum.click
- bebizicon.com
- belgeselsemo.com
- beroorats.za.com
- bestabacco.com
- bioniccholo.com
- birdsinflights.icu
- bisnispasti.com
- bitly.cx
- bizcardmachine.com
- bizmug.com
- blackwaterconsulting.site
- blasttim1.com
- bleivrrd.life
- bloomfreshglobals.com
- blue-export.shop
- bluegrasetours.com
- bmuclebanon.com
- booking-support.com
- bornaengineering.net
- boschcng.com
- box2boxstore.com.br
- braagg.com
- brakesmiles-3server.com
- brfgm.org
- buffetfoundations.com
- bulautos.com
- cajassas.com
- candleandlace.com
- capital-ea.com
- caringhearts.foundation
- carriertrucks.com
- ccainstitute.ac
- celebbiopedia.com
- cenfeng.top
- centlaesing.com
- centralcromatica.com.mx
- cf23.com
- chacarainteligente.com.br
- chamhaven.com
- charteredparcel.com
- chawalabhai.com
- chbyasociadoss.com
- cherubicindia-net.com
- citiwatchng.com
- claerlab.com
- clicksud.com.tr
- cliniccenterinc.com
- clumsy-fir-mandible.glitch.me
- coastscolors.top
- codingbeats.com
- coiceapparel.ru.com
- comancheemail.com
- comotower.com
- connectcausse.com
- conscientecolectivo.com
- consultoralimentarianissi.com
- contractorprofinder.com
- contructoralopeznegrete.com
- cornerpoetry.com
- corpcitvperu.com
- corporateints.com
- correioindependente.com.br
- cosmicgaia.net
- cotudo.za.com
- couvreur-toiture-belgique.be
- coyldaconstructoin.com
- cpyvaez.com
- cqwzwm.com
- cracktune.com
- credarmor.online
- crustcloud.io
- cscwelds.com
- cs-dhl.com
- currentlysmtp.com
- cutlerycroner.net
- cxknittlng.com
- cynthiagill.info
- daccacche.cam
- daredoor.com
- date4oix.ru.com
- davilago.com.br
- dcijhffdchhnvfdealendarntree.support
- dcllsupply.com
- decrailte-hk.com
- denningyoung.com
- dentaus.com
- dentellariais.ru.com
- deseabas.nl
- desentuber.com.br
- developerapi.com.br
- dhakabusinessclub.xyz
- dispersebeauty.com
- dissendi.com
- dixonplumbnginc.com
- dkim.capital
- dmailsrv.com
- doblaseis.za.com
- dobrapay.com
- documentgivernow.top
- dominicancatering.com
- doperoms.org
- dorrunrubber.com
- dropsafe.xyz
- drsciencepublications.com
- dtosd.com
- dyno-0ne.com
- e2-8.dev
- eacalive.org
- earth-colour2019.com
- earth-era.com
- earthworkslx.com
- eborshew.top
- eburstwebsite.com
- ecoatlass.top
- ecotrech.top
- ecspalmbeach.com
- eec--ag.com
- elarwile.top
- elegantpreservationllc.com
- elekente.top
- elgonkenyas.com
- elitegroup.hu
- elitemastercleaningma.com
- elitepeoplefinance.com
- eltigrechino.com
- emailcomunitys.info
- emailshelpdesk.com
- emilys-space.com
- empiezo.sa.com
- empowermentafricainitiatives.org
- emsrvr.com
- encryptsupport.info
- endugu.com
- energybatterysavers.online
- enlesani.top
- enterasys.com.pl
- eq-int.us
- esbertassociates.com
- escudodeprotecao.com.br
- espavientos.sa.com
- essarrov.top
- estosivo.top
- estrategiamovilmx.com
- eunoiaph-ae.com
- eurasiarail.ru
- evertonifc.shop
- evhezs.com
- evindann.top
- evobleindustry.com
- evt-invite.top
- ewaengineering.com
- exdocuzip.com
- executive-level.com
- exonfilm.com
- exoroach.com
- exploratech.cl
- extramovies.africa
- faaizy.com
- fabrikala.com
- fagociten.nl
- familiaplacido.com.br
- feadragoz.za.com
- felix.za.com
- ficovenexpress.com
- filesift.com
- firstgrouprhconsulting.com
- firstheritagefinancials.com
- fitzconltd.com
- fitzfotonv.com
- fkwmec0.za.com
- foralltravel.com
- fresh-casino-grandmaster.club
- friseal.com
- fsharereview.site
- fundsforfuture.org
- funerariaraiodeluz.com.br
- fvmjgroup.com
- fx-trigger.com
- game79game.com
- gaureanu.ro
- genieapp.app
- getdoit.info
- getfam.in
- gfhdgsfzd.site
- gflashcards.com
- giberm.com
- gigolowmxas.store
- gilandroyprops.us
- ginsengtea.team
- gkdubai.com
- goddivinehealingcenter.info
- goldenrootpharma.com
- goox6.shop
- goto.now
- grabb.site
- grandiosallc.com
- gratismspoints.com
- green775.com
- grihaabuilders.com
- grupobancolombla.com
- gruporeg43y49.com
- gruposafety.cv
- guadalajaraporcelanosaasociado.com
- gw3.io
- hadiqinternational.com
- hailypex.top
- hajikami2020.com
- halisakgun.com
- hangdonggia.com
- hareeshwaryenugonda.com
- harvalegal.in
- haryanadeendayalshop.org
- hauvvei.com
- hcfministries.com
- healthingos.com
- hellowandererz.com
- help-me-dolg-spisanie.ru
- helpofficeserverms.com
- heotors.sa.com
- hexatimes.com
- hhamish.com
- high-sora.com
- hiveoins.top
- hokita.pro
- homewarrantyplanreview.com
- honqruilite.com
- horizoneglass.net
- hoskia.net
- hostingersite.com
- hotelolaender.com
- hqvxeq9.za.com
- ht2jndn.web.app
- htmbusiness.com
- hzfk9jhzgn.ru
- icenitre.top
- ickfvp2.sa.com
- icloud-xac-minh.info
- idfl.info
- ifuqin.com
- ikrahalikoltukyikama.com.tr
- imagensgratis.com
- imc-eduekb.ru
- importantpostmaster.top
- indusgroupjobs.com
- infofacts.ru
- ingews.net
- initiativeaction.online
- inphb.app
- intcarter.com
- intconnection.com
- interioraccents-eg.com
- internetfibraperu.com
- interruniforms.com
- interstiv.com
- intokio.com
- intolot.org
- intpil.com
- intprofile.com
- intqbk.com
- intqbks.com
- intqboservices.com
- intqbs.com
- intqbse.com
- intqbsec.com
- intrevet.com
- intsectcon.com
- intservicecon.com
- intsilver.com
- intspvis.com
- inttsupport.com
- intuiglobal.com
- intuitcr.pro
- intusecu.com
- intverif.com
- invest-idea.org
- inviteform.site
- invitepnnnchb.life
- ipfs.cyou
- ipfs-chainsafe.dev
- iplt20.info
- isaacwitty.com
- ispirler.com
- istiklalmakina.com
- itdesmec.com
- iwannathrow.com
- jababeka-infra.com
- jacaros.za.com
- jac-cu.com
- jbglobaltrading.vip
- jeel.top
- jehankah.my.id
- jessdelvi.com
- jetgo.online
- jettisconsultancy.com
- jfmutritech.com
- jithiadaproperties.com
- jlabogados.com.mx
- johnlucas.top
- josieagertonphotography.com
- joycesegers.com
- jrlirianoasociados.com
- jtechinformatica.com
- jtechnet.tv.br
- jtrulove33.za.com
- jun88n3.com
- kalysrl.it
- karimlavji.com
- katarise.com
- kau.in.ua
- kedaiweb.co
- kelinapartment.com
- keneosolutions.co.za
- kesug.com
- khidmatic.com
- kingstems.com
- klassicvibes.com
- kogistateministryofjustice.ng
- kohltour.com
- kopilelaki.my.id
- krwebmosth0st1.ru
- label-mode.fr
- lacomputerrepairpros.com
- lasitcnupert.org
- laxista.nl
- laxka.com
- le25mon24.com
- leachingpeak.com
- leanskyafrica.com
- leventpharmaceutlcals.com
- librebeats.com
- line.pm
- linktoxic79.com
- lionbird.se
- litnet.work
- livinginorillia.com
- ln.run
- login-maildelivery-mailbox.s3.us-east-1.amazonaws.com
- loopalive.com
- lpfa.am
- lurstanbit.com
- lyricalart.com
- mailsvrupgrad.com
- mailsvrv.com
- majoritybuilder.com
- malil.xyz
- malpaniagencies.com
- mamapiopio.com
- managerfree.org
- mandymongiovi.com
- manuramos.com.br
- marketingrosa.com.br
- marmarametal.cam
- marrugo.com
- matematicacomaju.com.br
- mccormickfoy.co.uk
- mcduck-marketplace.com
- meandmymouse.com
- medsvillapharmacy.com
- melbournecompany.com
- menisher.com
- mentalsheal.com
- merallab.com
- mersh.co
- metuas.co.uk
- m-fit.biz
- mhgw.net
- microsoftoffice365.sbs
- microsoftonline.click
- mideastr.com
- midly.in
- mironval.top
- mivtsystems.com
- mmaglobe.com
- mobileeas.com
- morkiepuppieshome.com
- morrisonhospedariaecamping.com.br
- movesfitnesszoom.co.uk
- mpcleveromsk.ru
- mrkeximindia.com
- msoft365.cloud
- mubiic.com
- mundiatech.com
- muradmahmud.me
- mwrmovers.com
- mytemp.website
- nakamotoluck.com
- namklmgroup.com
- nanetteptyltd.com
- naobing123.top
- necc.live
- netstartmail.com
- neurobitstudio.com
- neurovisiongoa.com
- nevt3.za.com
- newpowertechengineering.com
- newyingyuxiaojingling.shop
- nfond.com
- nienazarta.pl
- nigerianipclub.org.ng
- nisastudiya.ru
- nmailapps.com
- nomadpixel.com
- northgaterenovations.com
- nothernep.com
- noticeswellsfargo.com
- nownce.org
- numaish.pk
- nuvueproduct.com
- nwgd.ru.com
- oakgardenfurniture.com
- ocalaauto.com
- ocelde.com
- ocepsegi.com
- ofbel.com
- offerspick.com
- officeauthlogin.sbs
- officeemail.ru
- officemail0285bslsecurity.com
- omegaliftequipment.com
- onlinecrosschecking.site
- onlinesuppsecac.com
- onmibrandgroup.com
- on-universal-federalcu.online
- oo1ll740ed.com
- oortstorage.com
- opaltimecard.com
- oranafashions.net
- ovoffice.com
- parshwatechnologies.tech
- partforexcavator.com
- partifypro.com
- pasaran.online
- pellelusso.com
- pemersan.top
- penangtrails.com
- pengyuejian.com
- pepepastes.com
- personalisa.com.br
- petit-monde.org
- petpit.dk
- pfirstbank.com
- physicsbytes.co.in
- pimsamty.com
- pinaydb.tv
- piteeis.sa.com
- piyalia.com
- planetaesportivo.com.br
- portomontenegros.com
- poscofuturem.sbs
- powerblitzz.com
- pr0f1leauthcsermgmt.online
- prepcards.com
- primadjusterindo.com
- privatecrafters.com
- productivitysecstreams.quest
- professordeaaz.com.br
- profilie.click
- profirstamdocs.org
- promomall.top
- providerswebworlds.com
- psiel.com
- psroll-royce.com
- ptibook.com
- pub-a5838f65652541d69d95fd7010df5bb4.r2.dev
- pulpagency.net
- pwansignatures.com
- qbkservices.com
- qbodsint.com
- qbointense.com
- qbointt.com
- qboselfservice.com
- qfsledgersfirm.com
- qh88com.online
- qsbike.com.br
- qtensence.com
- quantumacademy.school
- quershi.com
- quickbookers.business
- quickbookprime.pro
- qybn9.shop
- radekwycisk.com
- radhegold.shop
- radiococacola.com
- ragist.com
- raiezn.com
- rallyesafari.com
- ramuankita.my.id
- ratu98slot.com
- rawlife.jp
- rdcpaymentportal.com
- readyex-eg.com
- redfoxarmoryshop.com
- reforsolo.com.br
- reiseclick.org
- relaynexus.com
- reliant.ink
- rest-up.com
- revistanicaraguaexporta.com
- rexelnetwoking.com
- riahalshita.com
- ridgeviewexteriors.com
- righteousnessrevolution.net
- ripo0l.info
- ristatourtravel.com
- rochapremios.com.br
- royaldistributingtoyotaottawatoyotaottaen.top
- rrrts.in
- rusyakargo.com
- ruzzoplus.com
- rwjezmtqza-002.com
- ryabushka.com
- safetyinitiative.online
- sagadhruv.com
- sarasparklesboutique.com
- sargiot.org
- sars.homes
- satydruzicky.cz
- saybao.com
- sbpgroupbd.com
- sch-internat-rzn.ru
- secizle.com
- secure-available.us
- securedch4seinfo.com
- securedserver.co
- secure-net.pro
- securespherepro.online
- securewebmail.sbs
- seizeyourjob.com
- semanario7dias.com
- semper-fides.com
- sendimail.host
- serimpulso.org
- server-active-successful.com
- servervibes.com
- serve-servers.com
- serviciosgua2.com
- servicosfr.com.br
- servr-engage.click
- setting-raw-jushd.vercel.app
- seucro-503asd.com
- seurr.net
- sevenwild.com
- sharee3p0nitfil33.com
- shopinqatar.com
- show-pro.net
- shreebumbgroup.com
- shuttlego.com.mx
- sildenafilntabs.com
- sinclairgibson.site
- sineadnunez.ru.com
- siobhan.sa.com
- sitechs-us.com
- sitedogoiania.com.br
- sjhflkdjljkjdfhsdnjcjhjdsjshsjdhfhsfhdjhfdjfh.com
- sketch-digitalmarketing.com
- skinclass.in
- skyeedals.com
- skyhivehomes.com
- skyunitedlc.com
- smoochie.sa.com
- sodo66taixiu.com
- softestimator.com
- softsolution.xyz
- solider.co.uk
- solutionwarehouse.info
- sonicalnternational.com
- soygrupoelite.com
- sparrowgat.store
- sport-psychologist.com
- srvrauth.com
- staticrun.app
- steel-stofzuiger.com
- stitchburgbd.com
- sucasareno.com
- superpitmachinery.com
- supportstat.xyz
- surfingasscoffee.com
- sverth.com
- svvisspearl.net
- swiftglobalnetwork.com
- swit.as
- syiapty.click
- synisterdane.com
- system-control-center.com
- t-acar.com
- taherseifi.com.tr
- takween-acad.com
- talionases.ru.com
- tallythemesdemo.com
- tantitaglobal.cam
- tcitravel.uk
- techstupa.com
- terrafoodsillc.us
- testmahxhit.ng
- tettamantira.com
- texaslily.com
- thdggbdjsfe.one
- thegreatwallcup.com
- thelawsofjd.homes
- theprotidin.com
- thespawt.org
- thesynergylibrary.com
- the-vintage-rescue.com
- tigressvintage.com
- timemedya.com
- tmalltbw.com
- tmarnb.net
- toicya.org
- topaerodetailing.ru.com
- topnet.ink
- tpqcnt1.za.com
- tranzit-auto.com
- tribois.com
- triforestflooring.cam
- troll9x.com
- trouvaycauvn.com
- truck-parts.nl
- truffelceremonieszeeland.nl
- ttienterprise.net
- tubsid.org
- tulipsisp.com
- tuxlev.com
- tvbundleshub.com
- uchealthhub.com
- udl.io
- uinvisitat1on4us.info
- uirrtyeuriu.ru
- ultimus-solutions.com
- unboringads.com
- ungehrsgoo.ru
- uniteddeleverycompany.com
- unitedwaylondon.org.uk
- unsatake.top
- uprankk.in
- urlgo.co
- usentrak.top
- useporte.top
- usercommunication.online
- userdashboard.click
- userieir.top
- usermanagementt.click
- uugaa.com
- valeriemalkin.com
- varietybuz.net
- verifilili.com
- vicenteaguirrestudio.cl
- vichyvatten.com
- victoria1710am.com
- victorious-muddy-basin.glitch.me
- vietsub.top
- viewonlinepage.info
- vinit.info
- viyomarket.com
- vmrentalmaine.com
- vpad.sa.com
- vsfx6.shop
- vstornillasemos.info
- waodoc6.za.com
- warriortechnicalservices.com
- wauwcassino.com
- web06auth.ru
- web3approved.com
- webdmo.net
- webhay.top
- web-host.live
- websitechecklist.org
- wellnesscoachingcenter.ru.com
- welshwilliamshospital.com
- wembleychiraa.com
- wemlonet.com
- wetestlink.com
- wgbnz.com
- whaleswhite.com.ng
- wigeou.ru.com
- wikedops.org
- wiregrasswebs.com
- worldbluetravels.com
- wpxpress.in
- wuktkt4.za.com
- wwddcc.com
- wxjgcb2.sa.com
- xivivi.com
- xuanzhenge.com
- xum12.za.com
- xvzbn.fr
- xyqhsservice-logg.in
- yahweh-saboth.com
- yatacobodas.com
- ye1lowpumps.com
- yeoman-gruop.com
- yhn3.sa.com
- yikamax.com
- you-prime.com
- yousails-project.com
- ysworks.site
- za-airliquide.cam
- zeinabghasemi.ir
- zekrgoo.com
- zeoscope.top
- zgranticsy.com
- zinnyone.com
- zlpadc.cam
- zorren.top
- zxazlk.org
URLs
- http://ln.run/HxEHS#{user_email}
- http://url.rw/3m080/#{user_email}
- https://bafybeih66y422foovraku6twm2ajjxww4frb7rxlxu7zbqridm2xkszy2a.ipfs.dweb.link/axprediir.html#{user_email}
- https://carriertrucks.com/#{user_email}
- https://hexatimes.com/0487548Wi/Adobe_PDFViewer/blau.php#{user_email}
- https://is.gd/UYdiV6/#{user_email}
- https://movesfitnesszoom.co.uk//_fri/xcfm6rms65q2uhzae0r8/{user_email}
- https://rebrand.ly/1e2jap#{user_email}
- https://s3.us-east-2.amazonaws.com/38474.com/re+(6).html#{user_email}
- https://shorturl.at/Kmm6g#{user_email}
