گزارش‌های اخیر نشان می‌دهد که یک عامل تهدید (Threat Actor) با استفاده از یک مکانیزم هوشمند، در حال اجرای کمپین‌های فیشینگ گسترده علیه موسسات مالی است. این مهاجم با نمایش صفحات جعلی «تعلیق حساب» (Suspended Account)، تلاش می‌کند محتوای فیشینگ خود را از دید تیم‌های امنیتی و سرویس‌های Takedown پنهان کند.
مکانیزم فرار از شناسایی و اسکن
بر اساس تحلیل‌های انجام شده، این زیرساخت از یک کیت (Kit) فیشینگ استفاده می‌کند که آدرس IP هر بازدیدکننده را ذخیره می‌نماید. این استراتژی به شرح زیر عمل می‌کند:
- بازدید اول: کاربر با صفحه ورود (Login Page) جعلی بانک مواجه می‌شود که اطلاعات کاربری را سرقت می‌کند.
- بازدیدهای بعدی: اگر یک تیم امنیتی، اسکنر یا سرویس Takedown بخواهد سایت را بررسی کند، با یک صفحه جعلی مواجه می‌شود که نشان می‌دهد حساب میزبانی (Hosting) مربوطه تعلیق شده است.
این تکنیک باعث می‌شود که سایت در نگاه اول غیرفعال به نظر برسد، در حالی که همچنان در حال سرویس‌دهی به قربانیان جدید است. در واقع، برای مشاهده محتوای زنده و واقعی، نیاز به یک IP جدید برای هر بار بررسی است.
هدف‌گیری حساب‌های تجاری و خزانه‌داری
برخلاف بسیاری از حملات که کاربران عادی را هدف قرار می‌دهند، این کمپین عمدتاً بر روی حساب‌های بانکی تجاری (Business Banking) و پورتال‌های خزانه‌داری (Treasury Logins) تمرکز دارد. الگوهای نام‌گذاری دامنه‌ها نیز شامل کلمات کلیدی مانند secure، authorize، credentials، help-desk و live-support است که با نام بانک هدف ترکیب شده‌اند.
ویژگی‌های فنی و زیرساخت مهاجمان
مهاجمان برای افزایش سطح پنهان‌کاری از چندین روش استفاده می‌کنند:
- استفاده از سرویس Cloudflare برای مخفی کردن محل واقعی سرورها و آی‌پی‌های اصلی.
- مسدود کردن ابزارهای توسعه‌دهنده (Developer Tools) مرورگر با استفاده از اسکریپت‌ها برای جلوگیری از تحلیل کد.
- تقلید از صفحات چالش (Challenge Pages) سرویس‌هایی مانند Cloudflare برای ایجاد اعتماد کاذب در کاربران.
این کمپین که از ماه می فعال شده، بیش از ۳۰۰ دامنه جعلی را شامل می‌شود که موسسات مالی بزرگی را در ایالات متحده، بریتانیا، استرالیا و نیوزیلند هدف قرار داده‌اند.
