Κυβερνοεγκληματίες μιμούνται γνωστά brands για να εξαπατήσουν χρήστες

Οι κυβερνοεγκληματίες έχουν ξεκινήσει μια εξελιγμένη κακόβουλη εκστρατεία, που αξιοποιεί τεχνικές μίμησης γνωστών εμπορικών σημάτων (brands) για τη διανομή κακόβουλου λογισμικού. Οι επιθέσεις ξεκινούν συνήθως με phishing μηνύματα SMS (μια τεχνική γνωστή ως smishing).

Αυτή η αναδυόμενη απειλή δείχνει μια εξέλιξη στις τακτικές κοινωνικής μηχανικής, όπου οι επιτιθέμενοι στρατηγικά δημιουργούν URLs που περιέχουν ονόματα αξιόπιστων brands για να παρακάμψουν τις υποψίες των χρηστών και τα φίλτρα ασφαλείας.

Κατάχρηση γνωστών brands: Πώς δρουν οι επιτιθέμενοι;

Η μεθοδολογία της επίθεσης επικεντρώνεται στη χειραγώγηση των δομών URL για τη δημιουργία ψευδούς νομιμότητας. Οι κακόβουλοι χρήστες ενσωματώνουν ονόματα γνωστών brands πριν από το σύμβολο “@” σε κακόβουλα URLs. Ακολουθεί το πραγματικό κακόβουλο domain. Αυτή η τεχνική εκμεταλλεύεται την ψυχολογία των χρηστών, καθώς οι παραλήπτες συχνά εστιάζουν στα γνωστά εμπορικά ονόματα αντί να εξετάζουν προσεκτικά τη συνολική δομή του URL.

Δείτε επίσης: Εκατοντάδες δωρεάν εφαρμογές VPN διαρρέουν δεδομένα χρηστών

Οι ερευνητές της Unit 42 εντόπισαν ότι αυτό το κύμα επιθέσεων επεκτείνεται πέρα από την απλή χειραγώγηση των URLs, ενσωματώνοντας απατηλά named group messaging campaigns για την ενίσχυση της αξιοπιστίας.

Επιπλέον, οι επιτιθέμενοι έχουν δείξει ιδιαίτερο ενδιαφέρον στη χρήση των επεκτάσεων domain .xin, οι οποίες παρέχουν ένα επιπλέον επίπεδο απόκρυψης διατηρώντας παράλληλα φαινομενική νομιμότητα.

Διανομή μέσω phishing SMS

Οι εκστρατείες συνήθως ξεκινούν μέσω μηνυμάτων SMS που φαίνεται να προέρχονται από νόμιμους οργανισμούς, κατευθύνοντας τους παραλήπτες να κάνουν κλικ σε κακόβουλους συνδέσμους για επαλήθευση λογαριασμού, ειδοποιήσεις παράδοσης ή ειδοποιήσεις ασφαλείας. Μετά την αλληλεπίδραση, αυτά τα URLs ανακατευθύνουν τους χρήστες σε σελίδες συλλογής διαπιστευτηρίων ή ενεργοποιούν αυτόματες λήψεις κακόβουλου λογισμικού που στοχεύουν κινητές και επιτραπέζιες πλατφόρμες.

Η εξελιγμένη φύση αυτών των επιθέσεων έγκειται στη διαδικασία μόλυνσης πολλαπλών σταδίων και στις στρατηγικές προετοιμασίας domain. Οι επιτιθέμενοι προεγγράφουν domains μήνες πριν, κάτι που τους επιτρέπει να καθιερώσουν domain reputation scores που αποφεύγουν τον αυτοματοποιημένο έλεγχο ασφαλείας. Η κακόβουλη υποδομή χρησιμοποιεί rotating subdomains και υπηρεσίες συντόμευσης URL για να περιπλέξει τις προσπάθειες παρακολούθησης.

Ο μηχανισμός παράδοσης του κακόβουλου payload χρησιμοποιεί progressive profiling, όπου τα αρχικά κλικ συλλέγουν device fingerprinting data πριν από την ανάπτυξη παραλλαγών κακόβουλου λογισμικού που είναι ειδικές για την πλατφόρμα. Αυτή η προσέγγιση μεγιστοποιεί τα ποσοστά επιτυχίας μόλυνσης ενώ ελαχιστοποιεί την ανίχνευση από λύσεις ασφαλείας που βασίζονται στην ανάλυση στατικών URLs.

Δείτε επίσης: Hackers χρησιμοποιούν το WhatsApp για διανομή του malware SORVEPOTEL

Εξελιγμένοι κίνδυνοι

Οι επιθέσεις που περιγράφονται αποτελούν μια μετασχηματισμένη μορφή κοινωνικής μηχανικής: οι δράστες δεν βασίζονται πια μόνο στην παραπλάνηση του μηνύματος, αλλά στο ίδιο το σχήμα των συνδέσμων. Μελετώντας τη δυναμική τους, βλέπουμε ότι η επιτυχία τους στηρίζεται σε τρεις άξονες: ψυχολογικό δέλεαρ, τεχνική πολυπλοκότητα και χρονισμός. Το ψυχολογικό δέλεαρ έχει να κάνει με την εμπιστοσύνη προς γνωστά brands και την ταχύτητα αντίδρασης των θυμάτων. Η τεχνική πολυπλοκότητα περιλαμβάνει προεγγραφές domain, rotating sub-domains και συνδυασμό υπηρεσιών συντόμευσης που συγκαλύπτουν την προέλευση. Ο χρονισμός — με εκστρατείες που απλώνουν τη δραστηριότητα σε εβδομάδες ή μήνες — αποσυντονίζει τα συστήματα ανίχνευσης.

Για να αντιμετωπιστούν τέτοιες επιθέσεις απαιτείται πολυεπίπεδη άμυνα: εκπαίδευση χρηστών για αποτελεσματικό έλεγχο των URL, εφαρμογή πολιτικών DMARC/SPF, και δυναμικοί έλεγχοι σε επίπεδο endpoint που μπλοκάρουν ύποπτες ανακατευθύνσεις. Επιπλέον, οι πάροχοι υπηρεσιών ασφαλείας πρέπει να βελτιώσουν τη συλλογή τηλεμετρικών στοιχείων και να μοιράζονται δείκτες παραβίασης σε πραγματικό χρόνο. Τεχνολογίες όπως sandboxing σε mobile πλατφόρμες και ανάλυση συμπεριφοράς σε επίπεδο δικτύου μειώνουν τη ζημιά όταν ο χρήστης αλληλεπιδρά.

Δείτε επίσης: Η Confucius στοχεύει συστήματα Windows με το backdoor AnonDoor

Τελικά, η πρόληψη απαιτεί συνεχή επιφυλακή: η ευφυΐα των αντιπάλων αυξάνεται, οπότε και οι πρακτικές άμυνας πρέπει να εξελίσσονται ταχύτερα. Επιπρόσθετα, οι οργανώσεις πρέπει να υιοθετήσουν πολιτικές ελάχιστων προνομίων και να περιορίζουν τη διανομή ευαίσθητων συνδέσμων μέσω SMS. Η ταχεία αναφορά περιστατικών σε CERTs και η χρήση τεχνολογιών αυτοματοποιημένης αναστολής domains μπορούν να μειώσουν την κλίμακα των επιθέσεων. Η εκπαίδευση και τα τεχνικά μέτρα πρέπει να συνδυάζονται ουσιαστικά.