Wprowadzenie do problemu / definicja
Nowo opisana kampania phishingowa pokazuje, jak skutecznie cyberprzestępcy potrafią nadużywać zaufanej infrastruktury internetowej do omijania mechanizmów ochronnych. W tym przypadku atak opiera się na wieloetapowym łańcuchu przekierowań wykorzystującym usługi Google, dzięki czemu odsyłacz umieszczony w wiadomości e-mail może wyglądać wiarygodnie zarówno dla użytkownika, jak i dla części narzędzi bezpieczeństwa.
Celem kampanii jest przede wszystkim kradzież danych uwierzytelniających, ale w części scenariuszy atak może prowadzić także do uzyskania zdalnego dostępu do urządzenia ofiary. To istotna zmiana jakościowa, ponieważ zwykły phishing może w takim wariancie szybko przerodzić się w pełnoprawny incydent naruszenia bezpieczeństwa stacji roboczej.
W skrócie
- Atakujący stosują wieloskokowe przekierowania oparte na legalnych usługach Google.
- Łańcuch utrudnia analizę adresów URL przez bramy pocztowe, sandboxy i systemy reputacyjne.
- Ofiara trafia ostatecznie na fałszywą stronę logowania lub ekran pozorowanej weryfikacji tożsamości.
- Skutkiem może być przejęcie poświadczeń albo instalacja narzędzia ScreenConnect zapewniającego zdalny dostęp.
- Kampania wykorzystuje personalizację stron i ukrywanie danych celu w fragmencie adresu URL.
Kontekst / historia
Wykorzystywanie legalnej infrastruktury do maskowania złośliwych działań nie jest nowym zjawiskiem. Od lat operatorzy kampanii phishingowych nadużywają usług chmurowych, platform marketingowych, otwartych przekierowań i publicznych mechanizmów śledzenia ruchu, aby zwiększyć skuteczność dostarczania przynęty do użytkownika końcowego.
Opisywana kampania wpisuje się w ten trend, ale wyróżnia się szerokim użyciem elementów jednego ekosystemu. Z dostępnych informacji wynika, że analitycy zaobserwowali trzystopniowy model przekierowań obejmujący komponenty powiązane między innymi z Google Meet, DoubleClick, Google Custom Search, Google Image Search, Google Tag Manager oraz Google Analytics.
Przynęty wykorzystywane w kampanii mają charakter biznesowy i nie ograniczają się do jednego scenariusza socjotechnicznego. Mogą dotyczyć rzekomego dokumentu do wglądu, wygaśnięcia poświadczeń, dostawy przesyłki, płatności, świadczeń publicznych albo wiadomości głosowej. Taka różnorodność zwiększa szansę, że atak zostanie dopasowany do profilu odbiorcy i jego codziennych obowiązków.
Analiza techniczna
Najważniejszym elementem technicznym kampanii jest sam łańcuch przekierowań. Link umieszczony w wiadomości e-mail nie prowadzi bezpośrednio do domeny kontrolowanej przez przestępców, lecz przechodzi przez kilka pośrednich etapów osadzonych w zaufanej infrastrukturze. Dla części rozwiązań ochronnych może to oznaczać, że analiza zakończy się zbyt wcześnie, na poziomie reputacji domen pośrednich, bez odtworzenia pełnej ścieżki prowadzącej do właściwego celu.
Drugim istotnym aspektem jest personalizacja strony docelowej. Po kliknięciu odnośnika skrypt uruchamiany w przeglądarce buduje fałszywy interfejs logowania na podstawie adresu e-mail ofiary. Według opisu kampanii możliwe jest również wyświetlenie aktualnego zrzutu strony firmowej w tle, co wzmacnia wiarygodność oszustwa i utrudnia użytkownikowi rozpoznanie zagrożenia.
Ważny jest także sposób ukrywania informacji o celu ataku. Adres e-mail ofiary może być kodowany w Base64 i umieszczany po znaku „#” w adresie URL. Fragment ten nie jest standardowo przesyłany do serwera przy żądaniu HTTP, dlatego może pozostać słabiej widoczny dla części logów i niektórych mechanizmów skanujących. Z perspektywy obrony utrudnia to zauważenie, że kampania jest precyzyjnie ukierunkowana na konkretną osobę.
Kolejny element dotyczy eksfiltracji danych. Po wpisaniu poświadczeń informacje mają być przekazywane operatorowi niemal natychmiast wraz z dodatkowymi metadanymi, takimi jak adres IP, geolokalizacja, identyfikator przeglądarki czy dane związane z infrastrukturą pocztową organizacji. Taki pakiet może zostać wykorzystany do dalszych etapów ataku, obejścia części kontroli dostępowych lub przygotowania kolejnych kampanii wymierzonych w tę samą firmę.
W części przypadków kampania nie kończy się na samej kradzieży loginu i hasła. Ofiara może zostać skierowana do fałszywego procesu potwierdzania tożsamości, który prowadzi do instalacji narzędzia ScreenConnect. Oznacza to możliwość uzyskania zdalnego dostępu do hosta i przejście od phishingu do kompromitacji urządzenia końcowego.
Konsekwencje / ryzyko
Najbardziej oczywistym skutkiem jest przejęcie kont użytkowników, zwłaszcza skrzynek pocztowych i kont korporacyjnych. W praktyce może to otworzyć drogę do ataków typu business email compromise, przejęcia wątków korespondencji, kradzieży dokumentów oraz dalszego rozsyłania phishingu z legalnych kont organizacji.
Drugie ryzyko wiąże się z możliwością obejścia części klasycznych mechanizmów ochrony poczty elektronicznej. Jeżeli systemy bezpieczeństwa opierają się głównie na reputacji domen, statycznej analizie odnośników albo uproszczonej inspekcji przekierowań, kampania może osiągać wyższą skuteczność niż tradycyjne masowe ataki phishingowe.
Wariant z instalacją narzędzia zdalnego dostępu znacząco podnosi poziom zagrożenia. Interaktywny dostęp do stacji roboczej może umożliwić kradzież danych z przeglądarki, przejęcie aktywnej sesji, ruch boczny w sieci, a nawet przygotowanie środowiska pod wdrożenie ransomware lub działania sabotażowe. Szczególnie narażone są organizacje, które nie monitorują odpowiednio użycia legalnych narzędzi administracyjnych i zdalnego wsparcia.
Rekomendacje
Organizacje powinny rozszerzyć analizę linków w bramach pocztowych, narzędziach proxy i systemach bezpieczeństwa o pełne odtwarzanie łańcucha przekierowań. Sama ocena pierwszego skoku nie jest dziś wystarczająca, jeśli atakujący świadomie budują wielowarstwowy model maskowania celu.
- Wdrożyć inspekcję wszystkich etapów przekierowania i analizę końcowej strony docelowej.
- Tworzyć reguły detekcyjne dla adresów URL zawierających zakodowane dane po znaku „#”.
- Monitorować ruch sieciowy związany z szybką eksfiltracją poświadczeń i metadanych.
- Polować na nieautoryzowane uruchomienia narzędzi zdalnego dostępu, w tym ScreenConnect.
- Wymuszać MFA odporne na phishing oraz analizować ryzykowne logowania i aktywne sesje.
- Kontrolować zmiany reguł skrzynek pocztowych, przekierowań i delegacji po podejrzanych zdarzeniach.
Nie mniej ważna pozostaje edukacja użytkowników. Szkolenia powinny uwzględniać scenariusze, w których link częściowo odwołuje się do znanych i zaufanych usług, ale finalnie prowadzi do kompromitacji. Sama obecność rozpoznawalnej domeny w łańcuchu przekierowań nie może być traktowana jako gwarancja bezpieczeństwa.
Podsumowanie
Opisana kampania potwierdza, że współczesny phishing coraz częściej korzysta z legalnej infrastruktury i technik utrudniających ocenę ryzyka zarówno użytkownikom, jak i systemom ochronnym. Wieloetapowe przekierowania przez usługi Google, personalizacja stron docelowych, ukrywanie danych celu w fragmencie URL oraz szybka eksfiltracja poświadczeń tworzą model ataku skuteczniejszy i trudniejszy do wykrycia niż klasyczne kampanie masowe.
Dla zespołów bezpieczeństwa oznacza to konieczność głębszej inspekcji łańcuchów URL, lepszej widoczności na poziomie endpointów oraz skuteczniejszej korelacji telemetrycznej między pocztą, ruchem sieciowym i logami tożsamości. Obrona przed takimi operacjami wymaga dziś nie tylko filtrowania domen, lecz także pełnego zrozumienia zachowania linku od chwili dostarczenia wiadomości aż po końcowy ładunek.