Οι χάκερ ανακατευθύνουν τους επισκέπτες των ξενοδοχείων σε πλαστή ιστοσελίδα της Booking.com για να κλέψουν τις κάρτες τους.
Έρευνες ασφαλείας ανακάλυψαν μια πολυστρωματική επιθετική εκστρατεία κλοπής πληροφοριών, όπου χάκερ παραβιάζουν τα συστήματα ξενοδοχείων, ιστότοπων κρατήσεων και ταξιδιωτικών πρακτορείων και στη συνέχεια χρησιμοποιούν την πρόσβασή τους για να εξαρθρώσουν οικονομικά δεδομένα που ανήκουν σε πελάτες.
Χρησιμοποιώντας αυτήν την έμμεση προσέγγιση και μια πλαστή σελίδα πληρωμής Booking.com, οι κυβερνο-εγκληματίες έχουν βρει μια συνδυασμένη τεχνική που εξασφαλίζει υψηλότερο ποσοστό επιτυχίας στη συλλογή πληροφοριών πιστωτικής κάρτας.
Phishing επόμενου επιπέδου
Συνήθως, οι ερευνητές εντοπίζουν εκστρατείες κλοπής πληροφοριών που επικεντρώνονται στον τομέα της φιλοξενίας (π.χ. ξενοδοχεία, ταξιδιωτικά γραφεία), χρησιμοποιώντας “προηγμένες τεχνικές social engineering” για την διασπορά κακόβουλου λογισμικού που κλέβει πληροφορίες.
Σύμφωνα με έκθεση των ερευνητών από την εταιρεία κυβερνοασφάλειας Perception Point, η διαδικασία ξεκινά με μια απλή ερώτηση για την κράτηση ή αναφέρεται σε μια υπάρχουσα κράτηση. Αυτό αναφέρθηκε νωρίτερα αυτόν τον μήνα.
Αφού έρθουν σε επικοινωνία με το ξενοδοχείο, οι εγκληματίες επικαλούνται ένα λόγο, όπως μια ιατρική κατάσταση ή μια ειδική αίτηση για έναν από τους ταξιδιώτες, για να στείλουν σημαντικά έγγραφα μέσω ενός URL.
Το URL οδηγεί σε κακόβουλο λογισμικό που “σχεδιάστηκε για να λειτουργεί αθέατα” και συλλέγει ευαίσθητα δεδομένα όπως credentials ή οικονομικές πληροφορίες.
Σε ένα νέο report αυτήν την εβδομάδα, ερευνητές της εταιρείας διαδικτύου Akamai αναφέρουν ότι η επίθεση υπερβαίνει το βήμα που περιγράφεται παραπάνω και προχωρά στον στόχευση των πελατών της επηρεασμένης οντότητας.
Έχοντας έναν άμεσο και αξιόπιστο κανάλι επικοινωνίας με τον τελικό θύμα, οι κυβερνο-εγκληματίες μπορούν να αποστείλουν το μήνυμα απάτης τους που παρουσιάζεται ως νόμιμο αίτημα από το τώρα παραβιασμένο ξενοδοχείο, υπηρεσία κράτησης ή πρακτορείο ταξιδίων.
Το μήνυμα ζητάει μια επιπλέον επαλήθευση της πιστωτικής κάρτας και βασίζεται στα κοινά στοιχεία ενός scam email: απαιτεί αμεση δράση και χρησιμοποιεί λογική για να το αιτιολογήσει.
Ο Guez σημειώνει ότι το μήνυμα “είναι γραμμένο επαγγελματικά και έχει διαμορφωθεί σύμφωνα με τις αυθεντικές αλληλεπιδράσεις του ξενοδοχείου με τους επισκέπτες του”, το οποίο εξαλείφει κάθε υποψία για τέχνασμα.
«Είναι σημαντικό να θυμόμαστε ότι αυτό το μήνυμα προέρχεται από την ίδια την πλατφόρμα μηνυμάτων του ιστότοπου κράτησης», τονίζει ο ερευνητής.
Δεδομένου ότι η επικοινωνία προέρχεται από τον ιστότοπο κρατήσεων μέσω του επίσημου καναλιού, ο παραλήπτης δεν έχει κανένα λόγο να αμφιβάλλει για την νομιμότητά της.
Ψεύτικη σελίδα Booking.com
Ο Guez αναφέρει ότι ο θύμα λαμβάνει έναν σύνδεσμο για τον υποτιθέμενο έλεγχο κάρτας για να κρατήσει την κράτηση. Ο σύνδεσμος ενεργοποιεί στη μηχανή του θύματος ένα εκτελέσιμο που κωδικοποιείται σε ένα περίπλοκο JavaScript βασισμένο σε σειρά base64.
Ο ερευνητής υπογραμμίζει ότι ο σκοπός του script είναι να ανιχνεύει πληροφορίες σχετικά με το περιβάλλον περιήγησης και σχεδιάστηκε για να δυσκολέψει σημαντικά την ανάλυση.
Ο επιτιθέμενος περιέλαβε επίσης πολλές τεχνικές επαλήθευσης ασφαλείας και αντι-ανάλυσης για να εξασφαλίσει ότι μόνο δυνητικά θύματα φτάνουν στο επόμενο στάδιο της απάτης, το οποίο παρουσιάζει μια πλαστή σελίδα πληρωμής του Booking.com.
Οι χρήστες θα πρέπει να αποφεύγουν να κάνουν κλικ σε μη αποστελλόμενους συνδέσμους, ακόμα κι αν φαίνονται νόμιμοι. Πρέπει να είναι υποψιασμένοι για επείγοντα email που ζητούν άμεση ενέργεια και να ελέγχουν τις διευθύνσεις URL για ενδείξεις απάτης.
Ωστόσο, για να διασφαλίσετε ότι δεν θα πέσετε θύμα πιο περίπλοκων επιθέσεων phishing, η συνιστώμενη ενέργεια είναι να επικοινωνήσετε απευθείας με την εταιρεία στην επίσημη ηλεκτρονική διεύθυνση ή τον αριθμό τηλεφώνου και να ζητήσετε διευκρινήσεις σχετικά με το μήνυμα.
Πηγή πληροφοριών: bleepingcomputer.com
