Abuso de redireccionamiento de URL de Trustpilot

23 de julio de 2024

Puntos clave

• Abuso de la infraestructura de Trustpilot y SendGrid
• Centrado principalmente en las industrias de servicios profesionales, científicos o técnicos
• La intención principal era robar las credenciales de los destinatarios que probablemente las venderían con fines de lucro
  
   

El 17 de junio de 2024, los investigadores de amenazas de Mimecast observaron una novedosa campaña de phishing de redireccionamiento de URL utilizando Trustpilot. La campaña comenzó abruptamente el 17 de junio, y las investigaciones determinaron que esto era atribuible a las URL de Trustpilot, generadas por Sendgrid. Tras la revisión, se determinó que parece haber sido un evento masivo de corta duración que buscaba redirigir a los usuarios objetivo a una página de phishing de pesca de credenciales. El gráfico siguiente destaca la actividad asociada a esta campaña.

Antes de su uso activo, la técnica, junto con otras características de estilo y distribución, parece haber sido probada a fondo utilizando cuentas de usuario comprometidas para garantizar la entrega. Entre los picos de la campaña, se observaron más pruebas y validaciones para mantener la entrega con éxito. Los correos electrónicos de phishing se enviaron principalmente a través de Microsoft 365 y del proveedor de servicios de correo electrónico KDDI. A continuación se muestra un desglose de los proveedores de servicios de correo electrónico utilizados.

Objetivos:

Predominantemente centrados en EE. UU., múltiples sectores, pero significativos en servicios profesionales, científicos y técnicos 

IOC:

Redireccionamientos de Trustpilot:

• hxxps://link.trustpilot.com/ls/click?upn=u001.7TXFvnJF4GMbcQqVAhZRa8-
  2FKsqcJJrXM5PriJjesPuYjvEDhc4u61YqxKeokTY4adTcM_r0aPuFam2OijKUCcDq4d
  NJZTUPWa70WxFXUt4Msr1TPSXE1rqhpUHZ9AfnLVE6EA5EXtoQpyf-2FfWDBC
  1bYEh6lTSdqycNmiUr9TST70VnC6S62SKSCraCoxe-2FU3kuJmXhYEm3koA34a-2BKr8dbNto67EZttUffEOZA127cGFwkK7I-2BydN9Q8sxLLQwLmx3MnDCb8PeVy
  5rZSTzAzzTz901Q-3D-3D

Haga clic aquí para acceder a la lista completa de redireccionamientos de Trustpilot

Hosts de redirección:

• info.ubergeek[.]tv
• phyditis[.]ru

Haga clic aquí para acceder a la lista completa de hosts de redireccionamiento

TTP:

• T1586.002: Cuentas comprometidas: Cuentas de correo electrónico
• T1566.002 - Phishing: Enlace de Spearphishing
• T1583.006 - Adquirir Infraestructura: Servicios Web
• T1608.005: Capacidades de la etapa: Destino de los enlaces