پژوهشگران Malwarebytes کشف کرده‌اند که یک کمپین فیشینگ با وعده توزیع رایگان اشتراک Claude Max، از پنجره‌های جعلی ورود به حساب گوگل برای سرقت اعتبارنامه‌های (Credentials) کاربران استفاده می‌کند.
تکنیک Browser-in-the-Browser چیست؟
تکنیک «مرورگر در مرورگر» یا Browser-in-the-Browser (BitB) روش جدیدی نیست و از سال ۲۰۲۲ مستند شده است. در این روش، مهاجم یک پنجره جعلی ورود (Sign-in) را درون صفحه وب شبیه‌سازی می‌کند که از نظر بصری کاملاً مشابه پنجره‌های استاندارد مرورگر است، حتی به گونه‌ای که دارای آیکون قفل امنیتی و آدرس صحیح (URL) است و کاربر می‌تواند آن را در صفحه جابه‌جا (Drag) کند.
جذابیت اشتراک‌های رایگان ابزارهای AI
با توجه به اینکه پلن‌های پولی Claude از ۲۰ دلار در ماه شروع می‌شوند و محدودیت‌های اکانت‌های رایگان زیاد است، وعده ارتقای رایگان به نسخه Max یک طعمه جذاب برای کاربران است. برخلاف بسیاری از حملات مشابه که به دنبال سرقت اطلاعات کارت بانکی یا نصب بدافزار هستند، این کمپین صرفاً بر سرقت حساب گوگل تمرکز دارد.
جزئیات عملیاتی و مهندسی اجتماعی
- ایجاد فوریت: صفحه جعلی با استفاده از یک شمارشگر معکوس و نمایش تعداد محدود ظرفیت (مثلاً کمتر از ۷۶۰ جایگاه باقی‌مانده)، کاربر را تحت فشار قرار می‌دهد تا سریع‌تر اقدام کند.
- اعتمادسازی: استفاده از لوگو و رنگ‌های برند Anthropic، نمایش نظرات جعلی کاربران و لینک دادن به صفحات رسمی در فوتر سایت، برای جلب اعتماد قربانی است.
- محدود کردن گزینه‌ها: در فرم ورود، تنها گزینه گوگل فعال است و سایر روش‌ها (مانند Apple ID) با پیام «موقتاً در دسترس نیست» غیرفعال شده‌اند.
تحلیل فنی و زیرساخت حمله
نکته قابل توجه در این حمله، استفاده از یک ویجت (Widget) آماده و قابل استفاده مجدد است. قابلیت‌های مخرب این صفحه از طریق یک خط کد از یک سرویس خارجی بارگذاری می‌شود. بررسی‌های کد منبع نشان می‌دهد که کامنت‌های موجود در کد به زبان روسی نوشته شده‌اند و مهاجمان از این ابزار به عنوان یک محصول توسعه‌یافته برای چندین کمپین مختلف استفاده می‌کنند، نه صرفاً برای یک مورد خاص.
دسترسی به حساب گوگل قربانی، نه تنها ورود به سرویس Claude را ممکن می‌سازد، بلکه به عامل تهدید اجازه می‌دهد به ایمیل‌ها، اسناد (Google Docs) و پیام‌های بازیابی رمز عبور سایر سرویس‌های کاربر دسترسی پیدا کند.
