«Συναγερμός: 40.000 phishing emails που μιμούνται SharePoint και e-Signing απειλούν την ψηφιακή σας ασφάλεια!»

Στον σύγχρονο ψηφιακό κόσμο, η ανταλλαγή εγγράφων και η ολοκλήρωση οικονομικών διαδικασιών γίνονται πιο εύκολες από ποτέ μέσω ηλεκτρονικών πλατφόρμων ψηφιακής υπογραφής και διαμοίρασης αρχείων. Αυτές οι υπηρεσίες, που χρησιμοποιούνται ευρέως σε τομείς όπως ο τραπεζικός τομέας, το real estate και η ασφάλιση, είναι πλέον απαραίτητες για να διατηρηθεί ο γρήγορος ρυθμός εργασίας των σύγχρονων επιχειρήσεων. Ωστόσο, αυτή η ευκολία δεν έρχεται χωρίς κινδύνους, καθώς οι κυβερνοεγκληματίες βρίσκουν νέους τρόπους να εκμεταλλευτούν τις αδυναμίες αυτές.

Πρόσφατη έρευνα από τους ειδικούς ασφαλείας της Check Point αποκάλυψε μια σοβαρή κακόβουλη καμπάνια phishing. Οι δράστες, προσποιούμενοι ότι είναι υπηρεσίες διαμοίρασης αρχείων και ηλεκτρονικής υπογραφής, χρησιμοποίησαν παραπλανητικές οικονομικές ειδοποιήσεις που φαίνονται νόμιμες.

Στο πλαίσιο αυτής της καμπάνιας, εστάλησαν περισσότερα από 40.000 phishing emails, στοχεύοντας σχεδόν 6.100 επιχειρήσεις μέσα σε δύο μόνο εβδομάδες. Όλοι οι κακόβουλοι σύνδεσμοι πηγάζουν από τη διεύθυνση https://url.za.m.mimecastprotect.com, γεγονός που ενίσχυσε την αξιοπιστία τους μιμούμενοι γνωστά μοτίβα ανακατεύθυνσης.

Πώς λειτουργεί η καμπάνια

Οι επιτιθέμενοι εκμεταλλεύτηκαν το χαρακτηριστικό secure-link rewriting της Mimecast, το οποίο χρησιμοποιούν ως κάλυψη για να κάνουν τους κακόβουλους συνδέσμους να φαίνονται ασφαλείς και πιστοποιημένοι. Καθώς το Mimecast Protect θεωρείται έμπιστος τομέας, αυτή η τακτική τους βοήθησε να παρακάμψουν τα αυτοματοποιημένα φίλτρα και να αποφύγουν την υποψία των χρηστών.

Προκειμένου να αυξήσουν την αξιοπιστία των επιθέσεών τους, τα emails χρησιμοποιούσαν επίσημα οπτικά στοιχεία από μεγάλες εταιρείες, όπως τα λογότυπα των προϊόντων της Microsoft, επαναλαμβάνοντας στοιχεία επικοινωνίας και κουμπιά εμφάνισης, όπως το “Review Document”. Χρησιμοποίησαν ακόμη και παραποιημένα εμφανιζόμενα ονόματα όπως:

• “X via SharePoint (Online)”,
• “eSignDoc via Y”,
• “SharePoint”,

Έτσι μιμούσαν πολύ πιστά τις νόμιμες ειδοποιήσεις υπηρεσιών συνεργασίας και διαμοίρασης εγγράφων.

Σχετική Παραλλαγή: Phishing τύπου DocuSign με διαφορετική μέθοδο ανακατεύθυνσης

Παράλληλα με τη μεγάλη καμπάνια που μιμείται υπηρεσίες SharePoint και e-signing, οι ερευνητές εντόπισαν και μια μικρότερη επιχείρηση που προσποιείται ειδοποιήσεις DocuSign. Όπως και η κύρια επίθεση, έτσι και αυτή βασίζεται στην απομίμηση μιας έμπιστης SaaS πλατφόρμας.

Στην κύρια καμπάνια, οι σύνδεσμοι μεταφέρονται μέσω ενός open redirect, ενώ στην παραλλαγή που μιμείται το DocuSign, ο σύνδεσμος περνάει πρώτα από URL της Bitdefender GravityZone και ακολούθως από την υπηρεσία click-tracking του Intercom, διατηρώντας κρυφό τον πραγματικό προορισμό των phishing διευθύνσεων.

Αυτή η μέθοδος καθιστά την παραλλαγή DocuSign ακόμα πιο ύπουλη και δύσκολο να εντοπιστεί.

Έκταση της Καμπάνιας και Μοτίβα Στόχευσης

Η καμπάνια επικεντρώθηκε κυρίως σε οργανισμούς στις Η.Π.Α., την Ευρώπη, τον Καναδά, την περιοχή Ασίας-Ειρηνικού (APAC) και τη Μέση Ανατολή, προσφέροντας ιδιαίτερη έμφαση στους τομείς της συμβουλευτικής, της τεχνολογίας και των κατασκευών/real estate. Επιπλέον θύματα ανιχνεύτηκαν σε αντίστοιχους κλάδους όπως η υγεία, τα χρηματοοικονομικά, η μεταποίηση, τα media και marketing, και οι υποδομές μεταφορών.

Σύμφωνα με στοιχεία του Harmony Email της Check Point, η γεωγραφική κατανομή των πληγέντων οργανισμών έχει ως εξής:

• Η.Π.Α.: 34.057
• Ευρώπη: 4.525
• Καναδάς: 767
• Ασία: 346
• Αυστραλία: 267
• Μέση Ανατολή: 256

Η γεωγραφική αυτή κατανομή αντικατοπτρίζει την τοποθεσία των δεδομένων των οργανισμών στην υποδομή της Check Point.

Περισσότερες λεπτομέρειες για τους πληγέντες οργανισμούς

Οι περισσότερες πληγέντες επιχειρήσεις δρουν στους τομείς της Συμβουλευτικής, της Τεχνολογίας και του Real Estate, με τομείς όπως η Υγεία, τα Χρηματοοικονομικά, η Μεταποίηση και ο Δημόσιος Τομέας να είναι επίσης σε κίνδυνο. Οι συγκεκριμένοι κλάδοι ανταλλάσσουν συχνά συμβόλαια και τιμολόγια, καθιστώντας την παραπλάνηση ακόμα πιο αποτελεσματική.

Γιατί είναι κρίσιμη η καμπάνια

Αν και έχουν αναφερθεί παρόμοιες καμπάνιες στο παρελθόν, αυτή η επίθεση υπογραμμίζει πόσο εύκολα οι δράστες μπορούν να μιμηθούν αξιόπιστες υπηρεσίες και να παραπλανήσουν τους χρήστες. Αυτό καθιστά επιτακτική την ανάγκη για συνεχή επαγρύπνηση και εκπαίδευση όσον αφορά την αναγνώριση πιθανών απειλών.

• Ενεργοί σύνδεσμοι,
• Ασυνήθιστα στοιχεία αποστολέα,
• Δηλαδή, ύποπτο περιεχόμενο.

Προληπτικά μέτρα που πρέπει να λάβουν οι οργανισμοί

Οι οργανισμοί και οι χρήστες πρέπει να εφαρμόσουν ορισμένες βασικές πρακτικές για να μειώσουν την έκθεση τους σε τέτοιες επιθέσεις:

• Να είναι προσεκτικοί με κάθε σύνδεσμο σε email, ειδικά αν το μήνυμα είναι απρόσμενο ή επείγον.
• Να ελέγχουν τις λεπτομέρειες του email, τις αναντιστοιχίες, και τη μορφοποίηση των μηνυμάτων.
• Να κάνουν hover πάνω στους συνδέσμους πριν κλικάρουν, για να δουν την πραγματική διεύθυνση.
• Να επισκέπτονται την υπηρεσία απευθείας μέσω του browser αντί να κάνουν κλικ σε συνδέσμους.
• Να εκπαιδεύουν τους υπαλλήλους τους τακτικά σχετικά με νέες μεθόδους phishing.
• Να χρησιμοποιούν εργαλεία ασφαλείας, όπως μηχανές ανίχνευσης απειλών και anti-phishing engines.

Δήλωση από τη Mimecast

Η καμπάνια που περιγράφεται από την Check Point χρησιμοποιεί νόμιμες υπηρεσίες για την απόκρυψη κακόβουλων συνδέσμων και δεν υποδεικνύει ευπάθεια της Mimecast. Οι δράστες χρησιμοποιούν αναγνωρισμένα domains για να αποφύγουν τον εντοπισμό.

• Οι πελάτες της Mimecast δεν είναι εκτεθειμένοι σε τέτοιου τύπου επιθέσεις.
• Οι μηχανισμοί ανίχνευσης μπλοκάρουν τέτοιες προσπάθειες εξαπάτησης.
• Οι δυνατότητες σάρωσης URL εντοπίζουν κακόβουλους συνδέσμους πριν την παράδοση.

Η Mimecast συνεχίζει να ενισχύει τα συστήματά της ενάντια σε εξελισσόμενες τεχνικές phishing, και οι πελάτες μπορούν να διαβάσουν την ανάλυση του 2024 σχετικά με παρόμοιες καμπάνιες στον παρακάτω σύνδεσμο:
https://www.mimecast.com/threat-intelligence-hub/phishing-campaigns-using-re-written-links/

Η εταιρεία εκφράζει την ευγνωμοσύνη της προς την Check Point για την συνεργασία και την υπεύθυνη κοινοποίηση των ευρημάτων.