Το βράδυ της Κυριακής, ο καταχωρητής domain Namecheap υπέστη παραβίαση δεδομένων που οδήγησε σε έναν κατακλυσμό κακόβουλων phishing μηνυμάτων που προσποιούνταν ότι ήταν η MetaMask και η DHL. Αυτά τα δόλια μηνύματα προσπαθούσαν να ξεγελάσουν τα άτομα ώστε να αποκαλύψουν προσωπικά στοιχεία καθώς και credentials πορτοφολιών κρυπτονομισμάτων προκειμένου να τα κλέψουν.
Δείτε επίσης: Μια επίθεση phishing μπορεί να κοστίσει στην επιχείρηση 1 εκατ. $
Οι εκστρατείες phishing ξεκίνησαν γύρω στις 4:30 μ.μ. ET και προήλθαν από το SendGrid, μια πλατφόρμα ηλεκτρονικού ταχυδρομείου που χρησιμοποιήθηκε ιστορικά από την Namecheap για την αποστολή ειδοποιήσεων ανανέωσης και email μάρκετινγκ.
Αφού οι παραλήπτες άρχισαν να διαμαρτύρονται στο Twitter, ο Διευθύνων Σύμβουλος της Namecheap Richard Kirkendall επιβεβαίωσε ότι ο λογαριασμός είχε παραβιαστεί και ότι απενεργοποίησαν το email μέσω της SendGrid ενώ διερεύνησαν το ζήτημα.
iMessage phishing: Πώς οι κυβερνοεγκληματίες μας ξεγελούν
Παρέλαση Πλανητών: Το Ουράνιο Σόου του Ιανουαρίου
Ο Kirkendall ανέφερε ότι υποψιάζεται ότι η παραβίαση μπορεί να συνδέεται με μια έκθεση της CloudSek τον Δεκέμβριο, η οποία ανακάλυψε εκτεθειμένα κλειδιά API των Mailgun, MailChimp και SendGrid σε εφαρμογές για κινητά.
Δείτε επίσης: Οι χάκερ της Βόρειας Κορέας στοχεύουν οργανισμούς υγειονομικής περίθαλψης με ransomware
Ένας κατακλυσμός από emails
Αυτό το σύστημα phishing έχει σχεδιαστεί για να υποδυθεί τόσο την DHL όσο και τη MetaMask, καθιστώντας δύσκολο για τους χρήστες να αναγνωρίσουν την κακόβουλη πρόθεση.
Το email ηλεκτρονικού ψαρέματος της DHL προσποιείται ότι είναι ένας λογαριασμός για ένα τέλος παράδοσης που απαιτείται για την ολοκλήρωση της παράδοσης ενός πακέτου. Αν και το BleepingComputer δεν έχει λάβει αυτό το μήνυμα ηλεκτρονικού ταχυδρομείου, ενημερώθηκε ότι οι ενσωματωμένοι σύνδεσμοι οδηγούν σε μια σελίδα ηλεκτρονικού ψαρέματος που προσπαθεί να κλέψει τις πληροφορίες του στόχου.
Το BleepingComputer έλαβε το phishing μήνυμα ηλεκτρονικού “ψαρέματος” του MetaMask, το οποίο προσποιείται ότι είναι μια απαιτούμενη επαλήθευση KYC (Know Your Customer) για να αποτρέψει την αναστολή του πορτοφολιού.
Αυτό το email περιέχει ένα marketing link από την Namecheap (https://links.namecheap.com/) που ανακατευθύνει τον χρήστη σε μια σελίδα phishing που προσποιείται ότι είναι MetaMask.
Αυτή η σελίδα προτρέπει τον χρήστη να εισαγάγει το ‘Secret Recovery Phrase’ ή ‘Private key’, όπως φαίνεται παρακάτω.
Παρέχοντας σε κακόβουλους φορείς είτε τη φράση ανάκτησης είτε το ιδιωτικό κλειδί, οι χρήστες αφήνονται εκτεθειμένοι στην κλοπή των κεφαλαίων και των περιουσιακών τους στοιχείων. Μόλις οι απειλητικοί παράγοντες αποκτήσουν πρόσβαση σε αυτά τα δύο στοιχεία, μπορούν εύκολα να εισάγουν το πορτοφόλι στις δικές τους συσκευές και να πάρουν τα πάντα που βρίσκονται μέσα σε αυτό.
Δείτε επίσης: DarkBit: Επίθεση ransomware στο Πανεπιστήμιο Technion
Εάν λάβατε απόψε ένα email phishing της DHL ή της MetaMask από το Namecheap, διαγράψτε το αμέσως και μην κάνετε κλικ σε κανέναν σύνδεσμο.
Η Namecheap κατηγορεί το “upstream system”
Την Κυριακή το βράδυ, η Namecheap εξέδωσε μια δήλωση ότι τα συστήματά της δεν παραβιάστηκαν, αλλά ότι επρόκειτο για ένα πρόβλημα με το σύστημα upstream που χρησιμοποιούν για το ηλεκτρονικό ταχυδρομείο.
Μετά το περιστατικό phishing, η Namecheap έκλεισε όλες τις υπηρεσίες ηλεκτρονικού ταχυδρομείου – συμπεριλαμβανομένης της παράδοσης κωδικών ελέγχου ταυτότητας δύο παραγόντων, της επαλήθευσης αξιόπιστων συσκευών και των μηνυμάτων ηλεκτρονικού ταχυδρομείου επαναφοράς κωδικού πρόσβασης. Μόλις μπόρεσε να διεξάγει έρευνα με τον πάροχό του, η Namecheap αποκατέστησε τις υπηρεσίες της στις 7:08 μ.μ. EST το ίδιο βράδυ!
Πηγή πληροφοριών: bleepingcomputer.com
