Una nuova ricerca di Kaspersky sulle attività di phishing che sfruttano piattaforme cloud legittime ha rivelato che, negli ultimi 12 mesi, sono stati sferrati oltre 390.000 attacchi di questo tipo. Le campagne analizzate sfruttano servizi affidabili come Cloudflare Workers, Vercel, Netlify, GitHub Pages e IPFS per condurre attacchi sofisticati in più fasi e persino aggirare l’autenticazione a più fattori.
La campagna di phishing ha inizio quando un malintenzionato, fingendosi ad esempio un contatto fidato, utilizza un pretesto per convincere la vittima ad accedere al proprio account Microsoft tramite un link di phishing. Il collegamento viene generalmente inviato via e-mail e, una volta cliccato, reindirizzabi l’utente a una presunta pagina “anti-bot”. A questo punto viene richiesto di completare un primo CAPTCHA falso inserendo il proprio indirizzo e-mail aziendale. Anziché verificare che si tratti di un utente reale, questa fase serve a raccogliere l’indirizzo e-mail e a reindirizzare la vittima a un URL .workers.dev generato automaticamente da Cloudflare. L’indirizzo e-mail viene trasmesso nell’hash dell’URL, consentendo alla pagina successiva di riceverlo senza dover accedere al server dell’autore dell’attacco.
Nella pagina successiva, ospitata su un sottodominio gratuito di Cloudflare Workers, l’utente deve superare un secondo CAPTCHA, questa volta autentico. Il CAPTCHA non è integrato nel codice HTML della pagina, ma viene caricato dinamicamente, rendendone più difficile il rilevamento da parte delle soluzioni di sicurezza.
Successivamente, all’utente viene mostrata quella che sembra essere una normale finestra di accesso a Office 365, realizzata con la tecnica “Browser-in-the-Browser” (BiTB), completa di barra degli indirizzi e controlli della finestra dall’aspetto autentico. In realtà si tratta di una finestra mobile che trasmette tutte le informazioni inserite agli autori dell’attacco. Mentre la vittima digita nome utente, password e codice di autenticazione a più fattori, uno script iniettato acquisisce le credenziali e i cookie di sessione, per poi reindirizzare l’utente a una generica pagina di errore, così da nascondere la compromissione.
“Gli autori degli attacchi sfruttano attivamente i servizi legittimi grazie alla loro reputazione, ai piani gratuiti e agli strumenti che possono utilizzare a loro vantaggio. Inoltre, nell’esempio analizzato nel nostro report, i phisher sono riusciti a realizzare un attacco Adversary-in-the-Middle in più fasi, instradando tutto il traffico attraverso un proxy da quello che sembrava un sito web Microsoft legittimo e combinandolo con tecniche Browser-in-the-Browser. Questo dimostra come le tecniche di phishing stiano diventando sempre più sofisticate”, ha commentato Olga Altukhova, Cybersecurity Expert di Kaspersky.
