Microsoft σύστημα ταυτοποίησης: Πάνω από 31.000 κακόβουλα email το εκμεταλλεύονται

iGuRu.gr > Microsoft σύστημα ταυτοποίησης: Πάνω από 31.000 κακόβουλα email το εκμεταλλεύονται

Οι ειδικοί της Kaspersky εντόπισαν μια εκστρατεία ηλεκτρονικής απάτης μέσω email, στο πλαίσιο της οποίας οι δράστες χρησιμοποιούν συνδέσμους που παραπέμπουν σε νόμιμες υπηρεσίες της Microsoft. Μέσω αυτών, ανακατευθύνουν τους χρήστες σε ψεύτικες ιστοσελίδες ή τους παρακινούν να κατεβάσουν κακόβουλο λογισμικό. Από την 1η Αυγούστου έως τις 18 Σεπτεμβρίου, οι λύσεις της Kaspersky απέκλεισαν περισσότερα από 31.000 email που περιείχαν τέτοιους συνδέσμους.

Νωρίτερα μέσα στη χρονιά, η Kaspersky είχε αναφέρει μια εκστρατεία phishing, στο πλαίσιο της οποίας οι επιτιθέμενοι εκμεταλλεύονταν τον μηχανισμό ταυτοποίησης της Microsoft. Νέα ανάλυση των ειδικών της Kaspersky αποκαλύπτει πώς οι κυβερνοεγκληματίες αξιοποιούν την ίδια τεχνολογία με διαφορετικούς τρόπους, προκειμένου να εξαπατήσουν τους χρήστες. Συγκεκριμένα, αποστέλλουν email που εμφανίζονται ως επίσημες επικοινωνίες της Microsoft και καλούν τους παραλήπτες είτε να επικαιροποιήσουν τα στοιχεία σύνδεσής τους στην υπηρεσία είτε να υπογράψουν ηλεκτρονικά έγγραφα.

Δες περισσότερα άρθρα του iGuRu.gr όταν αναζητάς ειδήσεις στην Google.

Το iGuRu.gr προτιμώμενη πηγή

Για να ανακατευθύνουν τους χρήστες, οι επιτιθέμενοι δημιουργούν αρχικά έναν λογαριασμό Microsoft και συνδέονται στο κέντρο διαχείρισης Microsoft Entra. Στη συνέχεια, μεταβαίνουν στην ενότητα καταχώρισης εφαρμογών και δημιουργούν μια νέα εφαρμογή. Κατά την καταχώρισή της, η υπηρεσία επιτρέπει τον ορισμό ενός URI ανακατεύθυνσης (Uniform Resource Identifier), δηλαδή της διεύθυνσης στην οποία ο διακομιστής ταυτοποίησης του Microsoft Entra κατευθύνει τον χρήστη μετά την επιτυχή εξουσιοδότησή του. Στο συγκεκριμένο πεδίο, οι επιτιθέμενοι εισάγουν έναν σύνδεσμο που οδηγεί στον κακόβουλο ιστότοπό τους. Στη συνέχεια, αποστέλλουν μηνύματα ηλεκτρονικού ταχυδρομείου που περιέχουν συνδέσμους ανακατεύθυνσης της Microsoft, οι οποίοι ενσωματώνουν το αναγνωριστικό της καταχωρισμένης εφαρμογής (Application ID) και το URI ανακατεύθυνσης που έχουν ορίσει.

Με αυτόν τον τρόπο, όταν οι χρήστες κάνουν κλικ στον σύνδεσμο, ανακατευθύνονται σε έναν ιστότοπο που έχει σχεδιαστεί είτε για την υποκλοπή προσωπικών δεδομένων είτε για την παραπλάνησή τους ώστε να κατεβάσουν κακόβουλο λογισμικό.

digi1 — Παράδειγμα email ηλεκτρονικού «ψαρέματος» (phishing)

Μέσω του κέντρου διαχείρισης Microsoft Entra, οι επιτιθέμενοι εντόπισαν επίσης έναν τρόπο να ενσωματώνουν κακόβουλο περιεχόμενο σε νόμιμες ειδοποιήσεις της υπηρεσίας. Για τον σκοπό αυτό, εκτιμάται ότι χρειάζεται να αγοράσουν την οικονομικότερη διαθέσιμη άδεια χρήσης ή να ενεργοποιήσουν μια δωρεάν δοκιμαστική περίοδο.

Οι δράστες εισάγουν ένα παραπλανητικό μήνυμα στο πεδίο ονόματος της σελίδας επισκόπησης (Overview) και στη συνέχεια δημιουργούν εικονικούς χρήστες στην ενότητα Users, χρησιμοποιώντας πλασματικές διευθύνσεις email, ονόματα εμφάνισης και κωδικούς πρόσβασης. Έπειτα, συνδέονται στην πύλη Microsoft My Account με τα νέα στοιχεία σύνδεσης ενός από τους εικονικούς χρήστες και προσθέτουν την πραγματική διεύθυνση email του θύματος ως εφεδρική διεύθυνση ηλεκτρονικού ταχυδρομείου, στην οποία αποστέλλονται μηνύματα επαναφοράς κωδικού πρόσβασης.

Ως αποτέλεσμα, το θύμα λαμβάνει έναν κωδικό επαλήθευσης που δεν έχει ζητήσει, ενώ το παραπλανητικό μήνυμα των απατεώνων εμφανίζεται στο θέμα και στην υπογραφή του email.

kasp2 — Παράδειγμα επίσημου email που περιέχει κωδικό επαλήθευσης που δεν έχει ζητηθεί, καθώς και μήνυμα των επιτιθέμενων

«Δεν είναι η πρώτη φορά που διαπιστώνουμε ότι οι παραπλανητικοί σύνδεσμοι και τα μηνύματα δεν αποστέλλονται απλώς από δράστες που προσποιούνται ότι εκπροσωπούν μια νόμιμη εταιρεία, αλλά διακινούνται μέσω επίσημων υπηρεσιών. Αυτό προσδίδει στα μηνύματα ένα επιπλέον επίπεδο αξιοπιστίας, καθιστώντας την απάτη ακόμη πιο δύσκολο να εντοπιστεί. Οι συνήθεις ενδείξεις μιας απόπειρας phishing δεν είναι εξίσου εμφανείς σε αυτές τις περιπτώσεις, με αποτέλεσμα οι χρήστες να δυσκολεύονται να αναγνωρίσουν την απειλή χωρίς τη βοήθεια ειδικών εργαλείων. Συνιστούμε στους χρήστες να εγκαθιστούν μια λύση ασφάλειας με ισχυρές δυνατότητες προστασίας από το phishing, η οποία παρέχει αυτόματη προστασία ακόμη και απέναντι σε ιδιαίτερα εξελιγμένες επιθέσεις», σχολιάζει ο Andrey Kovtun, Επικεφαλής της Ομάδας