Le recenti innovazioni in LogoKit indicano il futuro del phishing-as-a-service (PhaaS).

Punti chiave

• LogoKit si è evoluto da un kit di phishing standard in una piattaforma di inganno in tempo reale che crea pagine di phishing personalizzate per ogni vittima.
• La piattaforma utilizza legittimi servizi web commerciali per ricreare l'esperienza di login aziendale di una vittima, rendendo gli attacchi di phishing più convincenti e difficili da rilevare.
• LogoKit mostra come il phishing-as-a-service stia diventando più automatizzato, personalizzato e basato su cloud, riducendo i costi per gli attaccanti e aumentando l'efficacia.

L'evoluzione di LogoKit evidenzia come phishing platforms continuano a evolversi e cosa ciò significhi per i difensori e le loro strategie di sicurezza.

I ricercatori di Barracuda hanno analizzato le recenti campagne di LogoKit. Gli attacchi presentano temi comuni di phishing, come avvisi su password o certificati in scadenza o altre restrizioni di accesso, errori di consegna, aggiornamenti dei fogli di presenza e notifiche di verifica e-mail ICANN — ma le tecniche utilizzate sono molto diverse.

All'interno di un attacco LogoKit: da falsificazioni statiche all'impersonificazione dell'ambiente in tempo reale

LogoKit è passato oltre le pagine di accesso false statiche, come le repliche pre-costruite di marchi popolari, per la creazione e l'utilizzo di esperienze di phishing altamente personalizzate in tempo reale. Ogni vittima riceve effettivamente una pagina di phishing con un marchio unico, rendendo più difficili da identificare gli indicatori di compromissione generici.

L'attacco inizia quando la vittima clicca su un link di phishing, che include il loro indirizzo email nell'URL. Ad esempio:

hxxps[:]//inquisitive45tg-sfus88qnn0aklna8q8q9[.]glitch.me/<victimemail.com>

JavaScript nella pagina di phishing estrae l'indirizzo e-mail della vittima dall'URL. Successivamente utilizza il dominio e-mail (ad esempio, company.com) per identificare l'organizzazione della vittima e personalizzare di conseguenza la pagina di phishing.

Il toolkit costruisce dinamicamente pagine di phishing su misura per ciascuna vittima, utilizzando strumenti commercialmente disponibili per recuperare il logo dell'azienda e catturare uno screenshot in tempo reale del sito web legittimo della vittima. Negli attacchi analizzati da Barracuda, LogoKit ha utilizzato il servizio commerciale Thum.io per creare screenshot completi di siti web legittimi come sfondo per il phishing e Clearbit per aggiungere loghi di marchi legittimi.

Gli attaccanti utilizzano anche servizi legittimi, tra cui le API di Google Favicon, ImageKit e Microlink, per caricare dinamicamente loghi autentici e immagini dei siti web in tempo reale.

Questo va oltre la tradizionale “impersonificazione del marchio” verso “impersonificazione dell'ambiente” — dove gli attaccanti ricreano elementi del vero ambiente web della vittima, facendo apparire le pagine di phishing molto più simili alla reale esperienza di login dell'organizzazione.

Gli screenshot qui sotto mostrano il codice web di una pagina di phishing, con istruzioni per iniettare uno screenshot del sito del dominio legittimo della vittima come sfondo, così come il logo dell'azienda.

Istruzioni del codice web per inserire dinamicamente il Favicon di Google dell'organizzazione vittima

Quando l'utente inserisce le proprie credenziali di accesso nella pagina di phishing, i dati vengono inviati direttamente a un bot di Telegram, bypassando la necessità di un tradizionale server backend. La vittima viene quindi reindirizzata al sito web reale, rendendo il tentativo di phishing più difficile da rilevare e tracciare.

Affidandosi a servizi basati su cloud come Telegram anziché su server controllati dagli attaccanti, le campagne di phishing diventano più facili da implementare, più resilienti e più difficili da interrompere per gli investigatori.

Esfiltrazione di dati delle credenziali utilizzando bot di Telegram

Dopo che le credenziali della vittima sono state rubate, la vittima viene reindirizzata al sito web legittimo e potrebbe semplicemente presumere di aver inserito i propri dati in modo errato la prima volta e che ora sia tutto corretto.

Campagne multilingue

L'infrastruttura di phishing di LogoKit può essere distribuita in più lingue. I ricercatori di Barracuda hanno trovato e-mail di attacco in inglese, tedesco, francese, spagnolo, cinese e coreano.

Come rimanere al sicuro

Il phishing è una minaccia in continua evoluzione, ma ci sono alcune misure essenziali che aiuteranno a mantenere la tua organizzazione e i tuoi dipendenti protetti e resilienti agli attacchi informatici sia contro i rischi noti che emergenti.

1. Distribuire l'autenticazione multifattoriale (MFA) resistente al phishing, come la sicurezza FIDO2 e le passkey. Queste sono collegate al dominio del sito web legittimo. Anche se una pagina di phishing imita perfettamente un portale di login, il processo di autenticazione fallirà perché il dominio falso non può presentare la sfida crittografica corretta.

2. Implementare restrizioni di accesso, inclusi accesso condizionale e autenticazione basata sul rischio (come la regola del "viaggio impossibile") — il che significa che anche se le credenziali sono rubate, l'accesso per gli attaccanti è comunque limitato in base all'attendibilità del dispositivo, alla posizione dell'utente e al comportamento e a qualsiasi altro segno di accesso anomalo.

3. Utilizzare l'isolamento del browser per aprire link sospetti in un ambiente remoto prima che raggiungano l'endpoint dell'utente.

4. Implementa l'analisi degli URL e dei link. Questi sono filtri di phishing che si concentrano su domini dannosi noti. Per rilevare efficacemente il phishing in tempo reale, questi filtri devono essere in grado di individuare domini di nuova creazione, domini simili, frammenti di URL contenenti indirizzi e-mail, infrastrutture di phishing dinamiche e reindirizzamenti sospetti.

5. Verifica i provider e controlla l'impersonificazione del marchio. Molti kit di phishing sfruttano servizi legittimi, quindi è importante avere misure di sicurezza che verifichino i provider di hosting per la loro reputazione di dominio, il contenuto delle pagine, il comportamento degli utenti e altro ancora — e una sicurezza in grado di rilevare anche l'impersonificazione del marchio sofisticata.

6. Formare gli utenti a verificare richieste insolite prima di cliccare. Allo stesso tempo, non fare affidamento sugli utenti per individuare le e-mail dannose. Gli attacchi di phishing in tempo reale sembrano realistici e privi di errori, quindi gli strumenti di sicurezza devono fare gran parte del lavoro di rilevamento.

7. Soprattutto, utilizza una sicurezza stratificata continua, automatizzata e intelligente.

Conclusione

LogoKit illustra un cambiamento più ampio nel crimine informatico: gli attacchi di phishing stanno diventando sempre più automatizzati, personalizzati e basati su cloud. Poiché gli attaccanti adottano gli strumenti e le tecniche degli sviluppatori software moderni, le organizzazioni necessitano di controlli di sicurezza che possano rilevare e fermare gli attacchi anche quando la pagina di phishing appare completamente legittima.