Wprowadzenie do problemu / definicja
Nowa kampania phishingowa pokazuje, jak szybko ewoluują techniki omijania zabezpieczeń poczty elektronicznej i systemów detekcji złośliwych adresów URL. Atakujący wykorzystują wieloetapowe przekierowania oparte na legalnej infrastrukturze Google, aby zwiększyć wiarygodność linków, utrudnić analizę oraz podnieść skuteczność ataku. Głównym celem operacji jest kradzież poświadczeń, a w części wariantów również doprowadzenie do instalacji narzędzia zdalnego dostępu.
W skrócie
Kampania nie opiera się na prostym odnośniku prowadzącym bezpośrednio do strony wyłudzającej dane. Zamiast tego ofiara oraz narzędzia ochronne przechodzą przez kilka zaufanych domen i usług, co utrudnia blokowanie na podstawie reputacji. W zaobserwowanych przypadkach wykorzystywano wiele komponentów ekosystemu Google, a końcowym etapem było przejście do fałszywej strony logowania albo ekranu weryfikacji tożsamości prowadzącego do instalacji ScreenConnect.
- Atak wykorzystuje kilka kolejnych przekierowań przez legalne usługi Google.
- Celem jest kradzież danych logowania lub uzyskanie dostępu do urządzenia.
- Kampania stosuje personalizację treści pod konkretną ofiarę.
- Łańcuch przekierowań utrudnia wykrywanie przez tradycyjne filtry.
Kontekst / historia
Nadużywanie zaufanej infrastruktury internetowej w phishingu nie jest nowym zjawiskiem. Cyberprzestępcy od lat wykorzystują renomowane platformy chmurowe, skracacze linków, systemy reklamowe i narzędzia analityczne, aby ukrywać właściwy cel ataku. Obecna kampania wyróżnia się jednak tym, że buduje rozbudowany, wieloskładnikowy łańcuch przekierowań w obrębie usług jednego z najbardziej rozpoznawalnych dostawców technologicznych.
Przynęty stosowane w wiadomościach obejmowały typowe scenariusze biznesowe i administracyjne. Pojawiały się motywy związane z dokumentami, wygasaniem poświadczeń, przesyłkami, płatnościami, świadczeniami rządowymi czy wiadomościami głosowymi. Tego rodzaju tematyka dobrze wpisuje się w codzienną komunikację firmową, dlatego może skutecznie obniżać czujność odbiorców.
Analiza techniczna
Kluczowym elementem kampanii jest łańcuch trzech lub większej liczby przekierowań, który prowadzi użytkownika przez legalne usługi, zanim nastąpi kontakt z właściwą infrastrukturą phishingową. W analizie wskazano wykorzystanie takich komponentów jak Google Meet, DoubleClick, Google Custom Search, Google Image Search, Google Tag Manager oraz Google Analytics. Dla części narzędzi bezpieczeństwa pierwsze etapy wyglądają całkowicie nieszkodliwie, ponieważ odnoszą się do powszechnie zaufanych domen.
Mechanizm ten skutecznie osłabia działanie zabezpieczeń opartych na reputacji domen i prostym skanowaniu odnośników. Jeśli filtr sprawdza wyłącznie początkowy etap przekierowania, może uznać adres za bezpieczny. W praktyce atakujący dostarczają więc link, który formalnie nie wygląda jak bezpośrednie połączenie ze stroną służącą do kradzieży danych.
Końcowy etap ataku zależy od wariantu kampanii. W części przypadków ofiara trafia na fałszywą stronę logowania imitującą środowisko korporacyjne. W innych użytkownik widzi rzekomy proces weryfikacji tożsamości, którego efektem jest uruchomienie skryptu instalującego ScreenConnect jako narzędzie zdalnego dostępu. Taki scenariusz poszerza zakres zagrożenia z klasycznego phishingu na obszar przejęcia stacji roboczej.
Istotnym wyróżnikiem kampanii jest personalizacja strony docelowej po kliknięciu. Skrypt JavaScript generuje widok logowania na podstawie adresu e-mail ofiary, a dodatkowo może prezentować zrzut ekranu odpowiadający witrynie organizacji, z którą użytkownik jest związany. Interfejs potrafi też dostosować język i wygląd sesji do lokalizacji, co zwiększa wiarygodność oszustwa.
Badacze zwrócili również uwagę na ukrywanie informacji o celu w fragmencie adresu URL po znaku „#”. Umieszczony tam zakodowany adres e-mail nie jest standardowo przesyłany do serwera w żądaniu HTTP. To oznacza, że część mechanizmów logowania zdarzeń i część skanerów może nie zobaczyć danych wskazujących na precyzyjne targetowanie ofiary. Taka technika utrudnia analizę oraz korelację incydentów.
Po przechwyceniu danych informacje o ofierze mają być szybko przekazywane operatorom kampanii. Oprócz samych poświadczeń mogą obejmować adres IP, geolokalizację, identyfikator przeglądarki oraz dane o domenie pocztowej organizacji. Taki zestaw wspiera dalsze działania, w tym przejęcie kont, oszustwa typu BEC, eskalację dostępu i aktywność post-exploitation.
Konsekwencje / ryzyko
Największe ryzyko wynika z możliwości obejścia zabezpieczeń skoncentrowanych głównie na reputacji domen. Organizacje, które w dużym stopniu polegają na blokowaniu podejrzanych adresów, mogą mieć trudności z wychwyceniem kampanii bazującej na legalnych usługach pośredniczących. To może prowadzić do większej liczby dostarczonych wiadomości i wyższego odsetka kliknięć.
Drugim problemem jest to, że uwierzytelnianie wieloskładnikowe nie zawsze zatrzyma cały scenariusz ataku. Jeżeli celem jest instalacja narzędzia zdalnego dostępu lub przejęcie urządzenia, a nie tylko samo logowanie do usługi, MFA może okazać się niewystarczające. W efekcie nawet organizacje z dojrzałą polityką tożsamości pozostają narażone.
Dodatkowe zagrożenie wiąże się z użyciem legalnych narzędzi administracyjnych, takich jak ScreenConnect. Oprogramowanie tego typu może być wykorzystywane zarówno zgodnie z przeznaczeniem, jak i w działaniach przestępczych, co komplikuje detekcję. Potencjalne skutki obejmują trwały dostęp do stacji roboczej, kradzież danych oraz dalszy ruch boczny w środowisku.
Rekomendacje
Organizacje powinny rozszerzyć analizę adresów URL o pełne rozwijanie całego łańcucha przekierowań, a nie tylko ocenę pierwszej widocznej domeny. Kontrola wielu etapów redirectów powinna objąć bramki pocztowe, rozwiązania proxy oraz mechanizmy izolacji przeglądarki.
- Wdrażać analizę pełnych łańcuchów przekierowań w systemach ochronnych.
- Monitorować nietypowe sekwencje ruchu prowadzące przez wiele usług chmurowych.
- Uwzględniać w detekcjach adresy URL zawierające zakodowane dane po znaku „#”.
- Aktywnie wyszukiwać nieautoryzowane instalacje narzędzi RMM, w tym ScreenConnect.
- Analizować nowe usługi systemowe, zadania harmonogramu i procesy uruchamiane z przeglądarki.
- W razie incydentu wymuszać reset poświadczeń i weryfikować integralność stacji roboczej.
Z perspektywy SOC szczególnie ważne jest monitorowanie wskaźników kompromitacji na poziomie DNS, proxy i SIEM, a także korelacja zachowań wskazujących na szybkie przekazywanie skradzionych danych. Równie istotne pozostaje uświadamianie użytkowników, że zaufana domena pośrednicząca nie gwarantuje bezpieczeństwa całego łańcucha linków.
Podsumowanie
Opisana kampania phishingowa pokazuje, że zaufanie do renomowanej infrastruktury może zostać skutecznie wykorzystane przeciwko organizacjom. Wieloetapowe przekierowania, personalizacja stron docelowych, ukrywanie identyfikatorów ofiar w fragmencie URL oraz możliwość dostarczenia narzędzia zdalnego dostępu tworzą zagrożenie trudne do wykrycia przez tradycyjne mechanizmy ochronne. Skuteczna obrona wymaga analizy zachowań, pełnej widoczności łańcucha przekierowań i lepszej telemetrii z punktów końcowych.
Źródła
- https://www.darkreading.com/cyberattacks-data-breaches/attackers-multi-hop-google-redirects-phishing-campaign
- https://blog.knowbe4.com/attackers-chain-google-services-to-evade-detection-in-ongoing-phishing-campaign