محققان امنیتی در Ocean Security یک کمپین فیشینگ هدفمند تحت عنوان Phantom Preview را شناسایی کرده‌اند که از اعلان‌های (Notifications) قانونی سرویس Adobe Frame.io برای دور زدن سیستم‌های امنیتی ایمیل استفاده می‌کند. این حمله با هدف سرقت اعتبارنامه‌های ورود به Microsoft 365 طراحی شده است.
مکانیسم حمله و تکنیک‌های فریب
این کمپین از یک روش پیچیده Adversary-in-the-Middle (AiTM) بهره می‌برد. مهاجمان با ارسال ایمیل‌هایی که از آدرس‌های معتبر Frame.io ارسال می‌شوند، کاربر را متقاعد می‌کنند که یک فایل اشتراکی دریافت کرده است. این ایمیل‌ها با موضوعاتی مانند «Jason Pitts shared ‘BTF Project’ with you» ارسال می‌شوند تا کاملاً مشابه اعلان‌های روتین اشتراک‌گذاری فایل به نظر برسند.
نکته کلیدی در این حمله، استفاده از فایل‌های PDF برای پنهان کردن لینک‌های مخرب است. وقتی کاربر لینک را باز می‌کند، ابتدا به پلتفرم واقعی Frame.io هدایت می‌شود. در آنجا، فایل PDF به صورت یک پیش‌نمایش (Preview) غیرقابل کلیک نمایش داده می‌شود. این تکنیک باعث می‌شود اسکنرهای امنیتی که صفحه اشتراک‌گذاری را بررسی می‌کنند، نتوانند مقصد نهایی و مخرب که در داخل مستندات PDF مخفی شده است را شناسایی کنند.
روش‌های فرار از شناسایی (Evasion)
مهاجمان برای افزایش سطح موفقیت خود از چندین لایه تکنیکی استفاده کرده‌اند:
- استفاده از Redirectها: لینک‌های مخفی شده در PDF، قربانی را از طریق یک زیردامنه در Cloudflare Pages و با استفاده از یک 301 redirect به دامنه جدید و مشکوک
msauth.bizهدایت می‌کنند. - استفاده از CAPTCHA: برای جلوگیری از بررسی خودکار صفحات توسط ابزارهای امنیتی، از Cloudflare Turnstile CAPTCHA استفاده شده است.
- توکن‌های یکتا: پس از عبور از تست کپچا، یک URL حاوی یک توکن منحصر‌به‌فرد (مانند
?s=gQpS40I) ایجاد می‌شود. این توکن باعث می‌شود صفحه فیشینگ فقط برای همان قربانی خاص قابل استفاده باشد و از اشتراک‌گذاری یا استفاده مجدد لینک توسط ابزارهای تحلیل امنیتی جلوگیری شود.
توصیه‌های دفاعی
باید توجه داشت که سرویس Frame.io مورد نفوذ قرار نگرفته است، بلکه مهاجمان صرفاً از سیستم اشتراک‌گذاری قانونی آن برای سوءاستفاده استفاده می‌کنند. تیم‌های امنیتی و مدیران SOC توصیه می‌شود:
- فقط به فرستنده ایمیل یا لینک‌های ظاهری اکتفا نکنند، بلکه محتوای فایل‌های پیوست (به‌ویژه PDFها) را برای یافتن لینک‌های مخفی بررسی کنند.
- به دنبال لینک‌هایی که به دامنه‌های تازه ثبت شده یا آدرس‌های مشکوک Cloudflare Pages هدایت می‌شوند، باشند.
- بررسی دقیق URI annotations در مستندات برای شناسایی مقاصد پنهان لینک‌ها.
