Τις τελευταίες εβδομάδες έχει εμφανιστεί μια εξελιγμένη εκστρατεία ηλεκτρονικού «ψαρέματος» που στοχεύει τόσο εταιρικούς όσο και απλούς χρήστες, πλαστογραφώντας τις πύλες σύνδεσης των OpenAI και Sora. Οι απατεώνες αποστέλλουν καλά σχεδιασμένα email που μοιάζουν με επίσημες ειδοποιήσεις υπηρεσίας, προειδοποιώντας για υποτιθέμενη αναστολή λογαριασμού ή ασυνήθιστη δραστηριότητα. Στόχος των επιτιθέμενων είναι να παρασύρουν τους χρήστες να υποβάλουν τα διαπιστευτήριά τους.
Τα κόλπα του phishing
Τα μηνύματα περιλαμβάνουν συνδέσμους προς πλαστές σελίδες που αναπαράγουν πιστοποιητικά SSL και το οπτικό περιβάλλον των γνήσιων ιστοτόπων OpenAI και Sora, καθιστώντας δυσδιάκριτη τη διαφορά ακόμα και για έμπειρους χρήστες. Πρώιμες αναφορές προέκυψαν όταν οργανισμοί εντόπισαν απόπειρες μη εξουσιοδοτημένης πρόσβασης, αμέσως μετά από κλικ εργαζομένων σε τέτοια δολώματα. Η ποιότητα των μηνυμάτων —με στοχευμένο περιεχόμενο και τεχνικές κοινωνικής μηχανικής— δείχνει ότι οι επιτιθέμενοι έχουν προετοιμάσει την εκστρατεία με επαγγελματικό τρόπο.
Δείτε επίσης: Pixnapping επίθεση: Κακόβουλες Android εφαρμογές κλέβουν κωδικούς 2FA
Loader πολλαπλών σταδίων και στρατηγική απόκρυψης
Ερευνητές ασφαλείας της Unit 42 εντόπισαν έναν loader πολλαπλών σταδίων γραμμένο σε obfuscated JavaScript, ο οποίος εισάγει δυναμικά κακόβουλα payloads στα προγράμματα περιήγησης των θυμάτων μόλις υποβληθούν τα διαπιστευτήρια. Ο κώδικας συλλέγει τα ονόματα χρήστη και τους κωδικούς και τα αποστέλλει σε διακομιστή εντολών και ελέγχου (C2) προτού ανακατευθύνει τον χρήστη στην νόμιμη υπηρεσία. Η τακτική αυτή λειτουργεί ως «κάλυμμα»: μειώνει τις υποψίες, αφού ο τελικός χρήστης βλέπει σε σύντομο χρόνο την γνήσια σελίδα, ενώ οι εγκληματίες αποσπούν μεγάλες ποσότητες διαπιστευτηρίων τόσο από εταιρικά όσο και από προσωπικά προφίλ.
Κατάχρηση OpenAI και Sora: Κίνδυνοι και επιχειρησιακός αντίκτυπος
Ο αντίκτυπος είναι κρίσιμος. Κλεμμένα διαπιστευτήρια μπορούν να επιτρέψουν πρόσβαση σε ευαίσθητα δεδομένα, να χρησιμοποιηθούν για χειραγώγηση μοντέλων τεχνητής νοημοσύνης ή για εκκίνηση επιπλέον επιθέσεων. Ιδιαίτερα εκτεθειμένα είναι τα συστήματα που βασίζονται σε Single Sign-On (SSO), όπου η απόκτηση ενός token μπορεί να προσφέρει πλευρική κίνηση μέσα σε εταιρικά δίκτυα και να διευκολύνει την κλιμάκωση προνομίων. Η δυνατότητα των επιτιθέμενων να παραμένουν απαρατήρητοι επιτρέπει μακρόχρονη συλλογή διαπιστευτηρίων και μεγαλύτερη ζημιά.
Δείτε επίσης: Η επίθεση RMPocalypse επιτρέπει παραβίαση του AMD SEV-SNP
Συστάσεις για ομάδες ασφαλείας
Οι οδηγίες προς τις ομάδες ασφάλειας περιλαμβάνουν έλεγχο πρόσφατης δραστηριότητας σύνδεσης, εφαρμογή πολυπαραγοντικής πιστοποίησης (MFA) όπου είναι δυνατόν και συνεχή παρακολούθηση εξερχόμενης κίνησης για συνδέσεις προς γνωστά κακόβουλα domains. Επιπλέον, η εκπαίδευση του προσωπικού για να αναγνωρίζει ύποπτα email και τεχνικές κοινωνικής μηχανικής παραμένει κρίσιμη. Συστηματικοί έλεγχοι για ασυνήθιστες συνεδρίες, αναντιστοιχίες στη γεωγραφική προέλευση συνδέσεων και γρήγορες διαδικασίες αναστολής διαπιστευτηρίων μπορούν να περιορίσουν την εξάπλωση.
Τεχνικές λεπτομέρειες μόλυνσης και persistence
Κεντρικός άξονας της εκστρατείας είναι ο JavaScript loader, που ενεργοποιείται αμέσως μετά την υποβολή των στοιχείων σύνδεσης στη σελίδα απάτης. Ο κώδικας εμφανίζεται σε μεγάλο βαθμό ασαφής, με custom string-encoding routines· μόλις αποκωδικοποιηθεί, επικοινωνεί με τελικά σημεία C2 και ανακτά σύνθετα payload για εκτέλεση στο περιβάλλον του προγράμματος περιήγησης του θύματος. Η δυναμική αυτή φόρτωση δυσχεραίνει την ανίχνευση με παραδοσιακές υπογραφές, δεδομένου ότι ο πραγματικός κακόβουλος κώδικας δεν εμφανίζεται ποτέ στην αρχική σελίδα. Επιπλέον, αξιοποιείται η τοπική αποθήκευση και scripts επανέναρξης συνεδρίας ώστε ο loader να επανενεργοποιείται ακόμη και αν ο χρήστης διαγράψει cookies ή κλείσει την καρτέλα.
Δείτε επίσης: Η Ρωσική Ομάδα TwoNet επιτίθεται σε συσκευές OT/ICS
Πρακτικά βήματα απόκρισης
Οι ομάδες πρέπει να απομονώσουν άμεσα ύποπτες συνεδρίες, να ανακαλέσουν κλεμμένα tokens, να προωθήσουν ενημερώσεις ασφαλείας και να εκτελέσουν ανάλυση forensics για τον εντοπισμό της πηγής και της έκτασης της παραβίασης. Η συνεργασία με παρόχους ταυτοποίησης, η ενημέρωση των καταναλωτών και η κοινοποίηση δεικτών παραβίασης σε κοινότητες Threat Intelligence επιταχύνουν τον εντοπισμό και μειώνουν την επιτυχία μελλοντικών εκστρατειών. Η άμεση αντίδραση μειώνει τον κίνδυνο, εξοικονομεί πόρους και προστατεύει τη φήμη του οργανισμού.
🔑 Ασφαλίστε τους κωδικούς σας με Proton Pass
Password manager από την Proton — end-to-end κρυπτογράφηση, passkeys, ενσωματωμένο 2FA και παρακολούθηση για διαρροές των στοιχείων σας.
- ✔ Κρυπτογραφημένη αποθήκευση κωδικών & passkeys
- ✔ Ειδοποίηση αν κάποιος κωδικός σας διέρρευσε (Dark Web Monitoring)
- ✔ Δωρεάν έκδοση — σε όλες τις συσκευές
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
