کیت‌های فیشینگ (Phishing Kits) دیگر تنها به کپی کردن صفحات ورود آشنا و انتظار برای دریافت اعتبارنامه‌ها محدود نمی‌شوند. عاملان تهدید به‌طور فزاینده‌ای قابلیت‌های فیلترینگ، مدیریت نشست (Session Management) و کنترل ترافیک را در زیرساختی که صفحه فیشینگ را ارائه می‌دهد، ادغام می‌کنند.
معرفی Wazza و اهداف آن
یک کیت فیشینگ جدید به نام Wazza شناسایی شده است که سازمان‌های بانکی، تولیدی و دولتی را در ایالات متحده، اروپا و استرالیا هدف قرار می‌دهد. این کمپین از یک زنجیره مسیریابی چندمرحله‌ای (Multi-stage routing chain) برای غربالگری بازدیدکنندگان و ترافیک خودکار استفاده می‌کند و در نهایت یک صفحه فیشینگ با تم Adobe و متد Device Code را نمایش می‌دهد.
مکانیزم فنی و زنجیره مسیریابی Wazza
برخلاف متدهای سنتی، Wazza هر بازدیدکننده‌ای را مستقیماً به صفحه نهایی هدایت نمی‌کند. روند عملیاتی این کیت به شرح زیر است:
- مرحله اول: بازدیدکننده ابتدا به یک دامنه Wildcard (مانند boegl-krysl[.]eu) هدایت شده و به نقطه پایانی
/api/wazza-configارسال می‌شود تا فعال بودن کمپین بررسی شود. - مرحله دوم: زیرساخت با یک Worker در Cloudflare ارتباط برقرار کرده و یک نشانگر کلاینت (Client Marker) برای همبسته‌سازی بازدید صادر می‌کند.
- مرحله سوم: از طریق
/api/mint-token، یک توکن نشست (Session Token) کوتاه‌مدت و امضا شده تولید می‌شود. - مرحله چهارم: توکن مذکور به همراه تله‌متری مرورگر در دامنه
check[.]boegl-krysl[.]euاعتبارسنجی شده و ترافیک‌های ناخواسته (مانند ربات‌های امنیتی) فیلتر می‌شوند. - مرحله نهایی: تنها پس از تایید تمام مراحل، کاربر به صفحه فیشینگ نهایی با تم Adobe هدایت می‌شود که از متد Device Code برای سرقت دسترسی به حساب کاربری استفاده می‌کند.
چالش‌های شناسایی برای تیم‌های SOC و MSSP
این رویکرد لایه‌بندی شده باعث می‌شود شناسایی خودکار این تهدیدات دشوارتر شود، زیرا URL اولیه در ابتدا بی‌خطر به نظر می‌رسد و تنها در محیط‌های خاص و پس از طی مراحل اعتبارسنجی، رفتار مخرب خود را نشان می‌دهد. برای تحلیلگران SOC و ارائه‌دهندگان خدمات امنیتی (MSSPs)، این موضوع منجر به افزایش زمان بررسی (Investigation Time) و احتمال ارجاع‌های غیرضروری به سطوح بالاتر (Tier 2) می‌شود، زیرا بازتولید کامل زنجیره مسیریابی برای رسیدن به حکم نهایی (Verdict) زمان‌بر است.
تحلیل استراتژیک
تمرکز Wazza بر بخش‌های دولتی، بانکی و تولیدی نشان‌دهنده هدف قرار دادن فرآیندهای تجاری با ارزش بالا است. استفاده از برندهای شناخته‌شده مانند Adobe برای عادی جلوه دادن درخواست‌های احراز هویت، بخشی از استراتژی مهندسی اجتماعی این حملات است. نکته کلیدی برای مدافعان این است که صفحه فیشینگ تنها بخشی از یک عملیات گسترده‌تر است و زیرساخت تحویل (Delivery Infrastructure) اهمیت بیشتری نسبت به خود دامنه نهایی دارد.
