С конца ноября 2025 года специалисты компании Censys отслеживают активность фишингового кластера, который использует необычную тактику. Вместо подделки одного сервиса злоумышленники выстроили цепочку доверия из легитимных компонентов. Они взламывают настоящие бизнес-сайты, размещают на них страницы-приманки, запускают прокси-серверы в облаке Microsoft Azure и крадут учётные данные через подлинный процесс авторизации Microsoft. Жертва видит настоящую страницу входа, но её токены сессии перехватываются и уходят злоумышленнику.
Описание
Кампания получила название OLUOMO - по артефакту в имени одного из первых файлов приманки. Она состоит из двух этапов. На первом этапе жертва попадает на взломанный сайт, где ей предлагают "безопасный доступ к конфиденциальным материалам". Страница имитирует портал проверки документов и требует ввести адрес электронной почты. После ввода данных браузер перенаправляется на второй этап - прокси-сервер, работающий внутри инфраструктуры Azure. Этот прокси подставляет браузер к реальному серверу авторизации Microsoft, но все запросы проходят через сервис-воркер, который копирует их содержимое и отправляет злоумышленнику.
Особого внимания заслуживает оформление приманки. В качестве фонового изображения страницы используется фотография заявления о натурализации США (форма N-400). Этот документ имеет единственный известный источник в открытом интернете: блог 2015 года, посвящённый генеалогии. Оператор кампании скачал отсканированное заявление, слегка размыл его и загрузил на хостинг изображений Imgur. Судя по счётчикам просмотров на Imgur, четыре варианта картинки суммарно увидели более 15 тысяч раз. Исследователи в своём отчёте отметили: хотя часть просмотров могла быть получена при прямом открытии ссылки на Imgur, основная масса приходится на показ фона на фишинговых страницах. Это значит, что потенциальными жертвами стали тысячи пользователей.
Прокси-часть работает на Azure Web Apps. Когда браузер жертвы загружает страницу второго этапа, регистрируется сервис-воркер. Он перехватывает все сетевые запросы, кроме нескольких служебных путей. Для каждого запроса сервис-воркер собирает URL, метод, заголовки, тело и реферер, упаковывает их в JSON и отправляет на эндпоинт на том же домене. Сервер пересылает запросы Microsoft, а ответы возвращает браузеру. Таким образом учётные данные и токены проходят через руки злоумышленника. После завершения авторизации жертву перенаправляют на PDF-файл, который к моменту анализа уже был недоступен.
В коде приманки обнаружена дополнительная хитрость: в настоящую страницу входа Microsoft внедрён тег script, ссылающийся на относительный путь. Этот путь не входит в список исключений сервис-воркера, поэтому запрос к нему также перехватывается. Тег работает как сигнал для сервера - он подтверждает, что страница загрузилась у жертвы. Кроме того, в сервис-воркере есть пути для административной панели, позволяющие блокировать определённые IP-адреса (чтобы не обрабатывать трафик исследователей).
Инфраструктура распределена географически. Первый этап использует взломанные домены в Чили, Австралии, Новой Зеландии, Сингапуре, Перу, Эквадоре, Индии и США. Это реально существующие сайты компаний из разных секторов: образование, строительство, консалтинг, недвижимость. Злоумышленники помещают на них поддомены с характерными буквенно-цифровыми идентификаторами. Второй этап работает на Azure Web Apps, размещённых в регионе Австралия-Юго-Восток (Мельбурн). Для маршрутизации украденных данных используется подставной домен orgid[.]com, поддомен которого выглядит как portal.microsoftonline.com.orgid[.]com - типичный приём, рассчитанный на беглый взгляд.
Хронология показывает, что кампания активна с ноября 2025 года. Первая загрузка изображения на Imgur датируется 16 ноября. В конце ноября появились первые приманки на домене alvincurren[.]com. В декабре оператор добавлял новые поддомены на tepartners.com[.]au и controlescolar[.]cl, причём некоторые удалялись через несколько дней. В январе 2026 года загружены ещё два варианта изображения. Такая ротация говорит о том, что злоумышленник старается обходить блокировки, но при этом сохраняет доступ к взломанным сайтам.
Выбор фонового изображения - не случайность. Заявление о натурализации США не является типовой картинкой или размытым плейсхолдером. Это конкретный правительственный документ, имеющий эмоциональное и юридическое значение для определённой группы людей. Без доступа к самим фишинговым письмам нельзя утверждать, на кого именно была нацелена кампания. Однако исследователи Censys с умеренной уверенностью полагают, что оператор сознательно выбрал этот контекст. Возможно, жертвами становились иммигранты, проходящие натурализацию, или специалисты, работающие с такими документами (адвокаты, сотрудники USCIS). В любом случае, приманка создаёт ощущение срочности и доверия: человек, увидевший знакомый бланк, скорее поверит в необходимость входа через "безопасный портал".
Эта кампания иллюстрирует современный тренд: злоумышленники не взламывают сами сервисы, а используют их в своих целях. Imgur, Azure, Microsoft OAuth - каждый компонент по отдельности легитимен. Вредоносное поведение возникает только в их комбинации. Специалистам по безопасности следует обращать внимание на подозрительные комбинации: страницы на взломанных сайтах, запрашивающие email и перенаправляющие на Azure Web Apps, а также на использование необычных фоновых изображений, загруженных на публичные хостинги. Раннее обнаружение возможно с помощью поисковых запросов по уникальным CSS-переменным и заголовкам страниц, характерным для этого набора.
Кампания OLUOMO продолжается. Оператор адаптирует инфраструктуру, меняет поддомены и обновляет изображения. Это напоминание о том, что доверие к знакомым платформам не должно ослаблять бдительность при проверке ссылок и страниц входа, особенно когда речь идёт о конфиденциальных документах.
Индикаторы компрометации
