Μια εξελιγμένη εκστρατεία phishing έχει εμφανιστεί, στοχεύοντας υποψήφιους εργαζόμενους μέσω ψεύτικων ευκαιριών πρόσληψης από την Google. Οι επιτιθέμενοι αξιοποιούν τεχνικές κοινωνικής μηχανικής για να αποσπάσουν διαπιστευτήρια Gmail και προσωπικές πληροφορίες.
Η κακόβουλη αυτή επιχείρηση εκμεταλλεύεται την εμπιστοσύνη που συνδέεται με τη φήμη της Google, δημιουργώντας πειστικά email πρόσληψης που κατευθύνουν τα θύματα σε ψεύτικες πύλες σύνδεσης σχεδιασμένες να συλλέγουν στοιχεία ταυτοποίησης. Οι κυβερνοεγκληματίες προσποιούνται ότι είναι εκπρόσωποι ανθρώπινου δυναμικού της Google, προσφέροντας ελκυστικές ευκαιρίες καριέρας. Αυτά τα παραπλανητικά μηνύματα περιέχουν προσεκτικά σχεδιασμένες περιγραφές θέσεων εργασίας και διαδικασίες αίτησης που φαίνονται νόμιμες, με επίσημη εμφάνιση και επαγγελματικό ύφος επικοινωνίας που αντικατοπτρίζει την αυθεντική αλληλογραφία πρόσληψης της Google.
Ο ερευνητής κυβερνοασφάλειας g0njxa εντόπισε αυτή την εκστρατεία, ενώ ερευνούσε ευρύτερα πρότυπα επιχειρήσεων κλοπής διαπιστευτηρίων που στοχεύουν μεγάλες τεχνολογικές εταιρείες.
Δείτε επίσης: MatrixPDF: Νέο kit μετατρέπει PDF σε phishing και malware δολώματα
Η ανάλυση του ερευνητή αποκάλυψε ότι οι απειλητικοί παράγοντες χρησιμοποιούν πολλαπλές παραλλαγές επιθέσεων, προσαρμόζοντας τις τεχνικές τους για να αποφύγουν την ανίχνευση, ενώ διατηρούν υψηλά ποσοστά επιτυχίας.
Phishing: Ψεύτικοι recruiters της Google στοχεύουν υποψήφιους εργαζόμενους
Η κακόβουλη εκστρατεία επιδεικνύει εξελιγμένες ικανότητες αποφυγής μέσω της κατάχρησης πιστοποιητικών Extended Validation σε πολλαπλές πλατφόρμες. Οι απειλητικοί παράγοντες έχουν αποκτήσει νόμιμα πιστοποιητικά Apple Developer ID με ονόματα όπως “THOMAS BOULAY DUVAL” και “Alina Balaban”, επιτρέποντας στις κακόβουλες εφαρμογές τους να παρακάμπτουν τους αρχικούς μηχανισμούς ασφαλείας.
Τα υπογεγραμμένα αρχεία DMG δεν ανιχνεύονται στο VirusTotal.
Η ανάλυση των κακόβουλων launchers αποκαλύπτει σκόπιμες προσπάθειες νομιμοποίησης των εφαρμογών με την ενσωμάτωση signer names σε identifier strings, ακολουθώντας πρότυπα όπως “thomas.parfums” που αντιστοιχούν στο “Thomas Boulay Duval“.
Τα Mach-O binaries περιέχουν ενσωματωμένα references που συνδέονται με απομακρυσμένα AppleScript payloads, χρησιμοποιώντας το Odyssey Stealer framework για επιχειρήσεις συλλογής διαπιστευτηρίων.
Η υποδομή της εκστρατείας περιλαμβάνει παραβιασμένα domains, όπως το franceparfumes[.]org που φιλοξενούν κακόβουλα scripts, με διακομιστές εντολών και ελέγχου να λειτουργούν από τη διεύθυνση IP 185.93.89.62. Αυτά τα πιστοποιητικά αντιπροσωπεύουν σημαντικές οικονομικές επενδύσεις για τους κυβερνοεγκληματίες, καθώς η διαδικασία πιστοποίησης προγραμματιστών της Apple περιλαμβάνει σημαντικό χρόνο και κόστος, καθιστώντας την τελική ανάκλησή τους επιζήμια για τις συνεχιζόμενες επιχειρήσεις κακόβουλου λογισμικού.
Δείτε επίσης: Android banking trojan χρησιμοποιεί VNC server για remote έλεγχο συσκευών
Προσλήψεις – Απάτες
Η νέα τάση στην απάτη μέσω προσλήψεων αποκαλύπτει ένα ανησυχητικό μοτίβο: οι επιτιθέμενοι επενδύουν σε «επαγγελματική» παρουσίαση και τεχνολογικά μέσα ώστε να μοιάζει η απάτη απολύτως έγκυρη — και αυτό αλλάζει τους κανόνες άμυνας. Αντί να περιορίζονται σε μαζικά spam, οι επιτιθέμενοι χτίζουν πολυεπίπεδες εκστρατείες που συνδυάζουν κοινωνική μηχανική, φαινομενικά νόμιμα πιστοποιητικά και υποδομές που μοιάζουν με πραγματικούς εργοδότες. Το αποτέλεσμα: τα θύματα αμφισβητούν λιγότερο, ανοίγουν συνημμένα ή καταχωρούν διαπιστευτήρια σε ψεύτικες πύλες, και οι επιτιθέμενοι αποκτούν πρόσβαση σε πολύτιμες πλατφόρμες επικοινωνίας και cloud.
Αμυντικά, απαιτείται μια προσαρμοσμένη προσέγγιση που συνδυάζει τεχνολογία, διαδικασίες και ανθρώπινη επαγρύπνηση. Στο επίπεδο υποδομής ηλεκτρονικού ταχυδρομείου, οργανισμοί πρέπει να “σφίξουν” DMARC/DKIM/SPF, να εφαρμόσουν ελέγχους ταυτοποίησης αποστολέα και να ενεργοποιήσουν sandboxing για συνδέσμους και συνημμένα. Στο endpoint, λύσεις EDR και συστήματα ανίχνευσης συμπεριφοράς μπορούν να πιάσουν παράξενες διεργασίες που σχετίζονται με loaders ή μεθόδους εξαγωγής διαπιστευτηρίων. Η υιοθέτηση phishing-resistant MFA — όπως FIDO2 passkeys ή hardware tokens — μπορεί να βοηθήσει σημαντικά.
Δείτε επίσης: Οι χάκερ της APT35 επιτίθενται σε κυβερνητικούς και στρατιωτικούς οργανισμούς
🔑 Ασφαλίστε τους κωδικούς σας με Proton Pass
Password manager από την Proton — end-to-end κρυπτογράφηση, passkeys, ενσωματωμένο 2FA και παρακολούθηση για διαρροές των στοιχείων σας.
- ✔ Κρυπτογραφημένη αποθήκευση κωδικών & passkeys
- ✔ Ειδοποίηση αν κάποιος κωδικός σας διέρρευσε (Dark Web Monitoring)
- ✔ Δωρεάν έκδοση — σε όλες τις συσκευές
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Για πλατφόρμες λογισμικού και οικοσυστήματα εφαρμογών, η κατάχρηση νόμιμων πιστοποιητικών εκθέτει κενά στην αξιολόγηση ταυτότητας των εκδοτών. Χρειάζεται αυστηρότερος έλεγχος έκδοσης ταυτότητας, περιοδικές επαληθεύσεις και ταχύτερο μηχανισμό ανάκλησης πιστοποιητικών όταν εντοπίζεται κατάχρηση. Επιπλέον, οι πάροχοι λογισμικού πρέπει να βελτιώσουν τη διαφάνεια των διαδικασιών notarization και να προσφέρουν εύκολα εργαλεία για έλεγχο προέλευσης εφαρμογών.
Σε επίπεδο ανθρώπινου παράγοντα, η εκπαίδευση πρέπει να επικεντρωθεί σε σενάρια υψηλού ρεαλισμού: επαλήθευση recruiter μέσω επίσημων καναλιών, έλεγχος domain και επιβεβαίωση προσφορών με πολλαπλά ανεξάρτητα μέσα. Τέλος, η συνεργασία μεταξύ εταιρειών τεχνολογίας, πλατφορμών πρόσληψης και αρχών επιβολής θα επιταχύνει τις ανακλήσεις υποδομών και τις νομικές δράσεις — και αυτό είναι κρίσιμο για να κάνει οικονομικά ασύμφορη την επιχείρηση της στοχευμένης απάτης.
