Compromissione degli account Facebook

Di Samantha Clarke, Hiwot Mendahun, Ankit Gupta e il team di ricerca sulle minacce di Mimecast

Flusso della campagna

I ricercatori di Mimecast specializzati in minacce hanno recentemente monitorato una campagna di phishing che sfruttava Recruitee, un sistema di gestione dei clienti (CMS) legittimo di terze parti dedicato al reclutamento (tracciato internamente con il codice MCTO3035). Gli autori delle minacce sfruttano la piattaforma per inviare e-mail contenenti offerte di lavoro fraudolente, ingannando gli utenti finali e aggirando potenzialmente i meccanismi di rilevamento grazie all’utilizzo di un servizio considerato affidabile. Inoltre, registrano domini simili e li inseriscono nelle e-mail generate da Recruitee, spacciandosi per marchi noti, aumentando così la credibilità delle loro truffe di phishing.

L'esca di questa campagna si concentra su un'opportunità di lavoro fraudolenta per un Social Media Manager, attirando le vittime a cliccare su un link per candidarsi. Dopo un'indagine più approfondita, i domini utilizzati nelle campagne sono stati registrati di recente, utilizzando servizi come Porkbun e Hostinger, che sono preferiti dagli attori delle minacce per il loro basso costo, facilità d'uso e configurazione rapida.

Una volta che l'utente clicca sul link, vengono utilizzati CAPTCHA casuali e il filtraggio di IP per scoraggiare il rilevamento automatico, prima che l'utente venga reindirizzato a una pagina di accesso.

Viene presentata una pagina di phishing ben strutturata con marchi e loghi per aumentare la credibilità. L'obiettivo principale di queste campagne è raccogliere le credenziali di Facebook e all'utente viene chiesto di creare un account tramite Facebook o di inserire il proprio indirizzo email/numero di telefono. Entrambi i percorsi conducono l'utente a inserire le credenziali di Facebook.

Dopo l'inserimento delle credenziali, all'utente viene quindi richiesta un'autenticazione a due fattori affinché l'aggressore possa prendere il controllo dell'account Facebook. Tutti i dettagli inseriti in queste pagine vengono automaticamente trasmessi ai logger di Telegram per garantire la tempestiva acquisizione degli account.

L'attività della campagna mostra un picco significativo a settembre e ha ripreso alla fine di novembre.

Tattiche, tecniche e procedure:

T1566.002 - phishing: link di spear phishing
T1598.002 - phishing per informazioni
T1204.001 - esecuzione da parte dell'utente: link dannoso
T1596.002 - ricerca di siti web/domini aperti per trovare risorse di proprietà della vittima (ad esempio, creazione di domini simili)
T1189 - compromissione drive-by (siti di phishing con CAPTCHA/filtro IP)
T1070.004 - rimozione dell'indicatore sull'host: esfiltrazione automatica tramite bot di Telegram

Protezione Mimecast

Obiettivi:

Stati Uniti e Regno Unito, prevalentemente nel settore della vendita al dettaglio, media/editoria

Indicatori di compromissione

Oggetti:

URL:

Logger di Telegram:

Raccomandazioni

• Assicurati di avere configurato una politica di URL Protect per proteggere l'organizzazione.
• Controlla i registri URL Protect per verificare se i tuoi utenti hanno avuto accesso a uno dei servizi oggetto di abuso. 
• Controlla i registri delle ricevute delle email per verificare se un'email con uno degli oggetti corrispondenti è stato consegnato ai tuoi utenti.
• Informa gli utenti finali del costante utilizzo di strumenti legittimi in campagne dannose.