Фишинг

Миналата година киберизмамниците са откраднали криптовалута на стойност 494 млн. USD при wallet drainer атаки. Te са били насочени към над 300 000 криптопортфейла.

Това представлява увеличение с 67% спрямо данните за 2023 г., въпреки че броят на жертвите е нараснал само с 3,7%. Тази статисткика показва, че потърпевшите са загубили по-значителни суми средно.

Данните идват от платформата за борба с измамите в Web 3 Scam Sniffer. Тя съобщава за вълни от wallet drainer атаки, които са засягали до 100 000 души едновременно. Този вид кампании използват фишинг инструменти, специално създадени за кражба на криптовалута или други цифрови активи от портфейлите на потребителите. Те често се разполагат на фалшиви или компрометирани уебсайтове.

През 2024 г. Scam Sniffer отчита 30 мащабни (над 1 млн. долара) кражби, извършени с помощта на подобни инструменти. При най-големия единичен обир е осребрена криптовалута на стойност 55,4 млн. долара.

Що се отнася до тенденциите, наблюдавани през 2024 г., платформата подчертава използването на фалшиви CAPTCHA и Cloudflare страници за избягване на откриването.

Повечето кражби разчитат на подписа „Permit“ (56,7%) или „setOwner“ (31,9%) за източване на средствата. Първият дава одобрение за изразходване на токени съгласно стандарта EIP-2612, докато вторият актуализира собствеността или административните права на интелигентния договор.

Друга забележителна тенденция е увеличеното използване на реклами в Google и Twitter като източник на трафик към фишинг уебсайтовете. Нападателите използват компрометирани акаунти, ботове и фалшиви токени за постигане на целта си.

За да се предпазите от подобни атаки:

• взаимодействате само с надеждни и проверени уебсайтове;
• проверявайте URL адресите, от които получавате имейли;
• четете съобщенията за одобрение на трансакциите и исканията за разрешение, преди да ги подпишете.

Много портфейли предлагат и вградени предупреждения за фишинг или злонамерени трансакции, така че не забравяйте да ги активирате.

Последен ъпдейт на 18 януари 2025 в 09:20 ч.

2024 г. ни демонстрира от всичко по много по отношение на киберрисковете. Различни типове атаки, експлойти и, разбира се, множество уязвимости поставиха на изпитание всички индустрии. За поредна година хакерите показаха, че не са се отказали от целта си да стават все по-изобретателни.

Експертите са категорични, че тази притеснителна тенденция ще се запази и през 2025. Ето кои са 10-те киберзаплахи, които ще продължат да се развиват и през тази година.

Zero day eксплойти

Пробивите от типа Zero day и увеличаването на техния обем са особено тревожна тенденция. За тях по условие няма пачове. Освен че организациите не могат да се защитят, нападателите могат да компрометират системите незабелязано.

Пример за това е Log4Shell – критична RCE уязвимост в Java Naming and Directory Interface (JNDI) на Log4j. През нея нападателите можеха лесно да поемат контрол над уязвимите системи – значителна заплаха, тъй като Log4j се използва в почти всяко Java приложение.

Добрата новина е, че все по-широкото използване на изкуствен интелект от страна на защитниците се очаква да промени пейзажа. То ще автоматизира процеса на откриване на скрити софтуерни недостатъци.

Все пак не трябва да забравяме, че нападателите също взимат на въоръжение технологията.

Supply Chain атаки

Supply Chain атака остава активна заплаха, която се задълбочава, тъй като организациите зависят все повече от услугите на външни изпълнители. Най-големият проблем при тях е, че въздействието им се разпространява каскадно върху множество заинтересовани страни: клиенти, доставчици и т.н.

Най-известният пример на това поле е пробивът в SolarWinds. Той засегна системата за управление на мрежи SolarWinds Orion, използвана от над 30 000 организации – включително щатски и федерални агенции. В резултат на това backdoor malware  компрометира хиляди данни, мрежи и системи.

Той даде възможност на нападателите да изпълняват API команди, без на практика да имат подобни права.

Използване на инфраструктурата за дистанционна работа

След 2020 г. и пандемията COVID-19 организациите се ориентираха към миодели за дистанционна и хибридна работа. Това обаче се превърна в сериозен проблем за киберсигурността.

Нападателите се фокусираха върху уязвимости във VPN софтуерите, протоколите за отдалечени работни станции (RDP) и фишинг атаките през платформи като Zoom и Microsoft Teams.

Инцидентите, при които бяха използвани VPN и RDP за получаване на нерегламентиран достъп до корпоративни системи и мрежи, са стотици. Отдалечените служители често работят от по-слабо защитени среди, което ги превърна в особено уязвим вектор за атаки срещу бизнесите.

Според експертите инфраструктурата за отдалечена работа ще продължи да бъде основна цел за киберпрестъпниците през 2025 г.

Системи за изкуствен интелект и машинно обучение

С възхода на AI и все по-широкото му използване идват и все повече рискове той да бъде експлоатиран от хакерските групи. Атаките от типа data poisoning и model inversion излизат на преден план сред развиващите се рискове по отношение на машинното обучение (ML) и изкуствения интелект (AI).

Тези технологии стават неразделна част от системите за проверка на самоличността. Така че подобни атаки, които имат потенциала да неутрализират техните защити, носят сериозни рискове за организациите.

Неправилни облачни конфигурации

Тъй като бизнесите продължават да прехвърлят операциите си към облака, той ще продължи да се затвърждава като водещ вектор за атака за хакерите. Причината – облачните инстанции често не са правилно конфигурирани.

Сложността на тези среди ще продължава да се увеличава, което ще доведе до още повече грешки. А неправилните конфигурации могат да имат сериозни последици – нарушаване на сигурността на данните, неоторизиран достъп до критични системи, финансови загуби, увреждане на репутацията.

За да предотвратят пробиви в облака през 2025 г., компаниите трябва да се съсредоточат върху три ключови области: видимост, контрол на достъпа и непрекъснато наблюдение.

Очаквайте продължение!

В края на миналата година FreedomOnline съобщи за масивна фишинг кампания, компрометирала най-малко 5 разширения за Google Chrome. Вече е ясно, че броят им е значително по-голям – 35 – като те се използват от приблизително 2,6 милиона потребители. Във всички тях хакерите са инжектирали зловреден код за кражба на чувствителна информация.

Атакуващите са използвали фишинг имейли, маскирани като официални известия от Google Chrome Web Store Developer Support. Чрез тях те са подмамили разработчиците да им предоставят OAuth разрешения за техните проекти. По този начин участниците в заплахата са заобиколили мерките за MFA и са получили възможност да качват нови, компрометирани версии.

Засегнатите разширения варират от популярни инструменти за виртуални частни мрежи (VPN) до приставки за производителност. Злонамереният код отвлича потребителски сесии, бисквитки и идентификационни данни за акаунти в социалните медии. Една от основните цели на кампанията са корпоративни профили с достъп до платени рекламни функции.

Ето го и целият списък със засегнати разширения:

Extension Name	Status	Version / Identifier
Where is Cookie?	Not yet addressed	emedckhdnioeieppmeojgegjfkhdlaeo
Web Mirror	Not yet addressed	eaijffijbobmnonfhilihbejadplhddo
ChatGPT App	Not yet addressed	lbneaaedflankmgmfbmaplggbmjjmbae
Hi AI	Not yet addressed	hmiaoahjllhfgebflooeeefeiafpkfde
Web3Password Manager	Not yet addressed	pdkmmfdfggfpibdjbbghggcllhhainjo
YesCaptcha assistant	Not yet addressed	[email protected]
Bookmark Favicon Changer	Addressed	5.1 / [email protected]
Proxy SwitchyOmega (V3)	Not yet addressed	[email protected]
GraphQL Network Inspector	Addressed	2.22.7 / [email protected]
AI Assistant	Removed from store	bibjgkidgpfbblifamdlkdlhgihmfohh
Bard AI chat	Removed from store	pkgciiiancapdlpcbppfkmeaieppikkk
ChatGPT for Google Meet	Removed from store	epdjhgbipjpbbhoccdeipghoihibnfja
Search Copilot AI Assistant for Chrome	Removed from store	bbdnohkpnbkdkmnkddobeafboooinpla
TinaMind	Addressed	2.14.0 / befflofjcniongenjmbkgkoljhgliihe
Wayin AI	Addressed	0.0.11 / cedgndijpacnfbdggppddacngjfdkaca
VPNCity	Not yet addressed	nnpnnpemnckcfdebeekibpiijlicmpom
Internxt VPN	Addressed	1.2.0 / dpggmcodlahmljkhlmpgpdcffdaoccni
Vidnoz Flex	Removed from store	cplhlgabfijoiabgkigdafklbhhdkahj
VidHelper	Not yet addressed	egmennebgadmncfjafcemlecimkepcle
Castorus	Addressed	4.41 / mnhffkhmpnefgklngfmlndmkimimbphc
Uvoice	Not yet addressed	oaikpkmjciadfpddlpjjdapglcihgdle
Reader Mode	Not yet addressed	fbmlcbhdmilaggedifpihjgkkmdgeljh
ParrotTalks	Not yet addressed	kkodiihpgodmdankclfibbiphjkfdenh
Primus	Addressed	3.20.0 / oeiomhmbaapihbilkfkhmlajkeegnjhe
Keyboard History Recorder	Not yet addressed	igbodamhgjohafcenbcljfegbipdfjpk
ChatGPT Assistant	Not yet addressed	bgejafhieobnfpjlpcjjggoboebonfcg
Reader Mode	Removed from store	llimhhconnjiflfimocjggfjdlmlhblm
Visual Effects for Google Meet	Addressed	3.2.4 / hodiladlefdpcbemnbbcpclbmknkiaem
AI Shop Buddy	Not yet addressed	epikoohpebngmakjinphfiagogjcnddm
Cyberhaven V3 Security Extension	Addressed	pajkjnmeojmbapicmbpliphjmcekeaac
Earny	Not yet addressed	oghbgbkiojdollpjbhbamafmedkeockb
Rewards Search Automator	Not yet addressed	eanofdhdfbcalhflpbdipkjjkoimeeod
Tackker	Addressed	ekpkdmohpdnebfedjjfklhpefgpgaaji
Sort By	Not yet addressed	miglaibdlgminlepgeifekifakochlka
Email Hunter	Not yet addressed	mbindhfolmpijhodmgkloeeppmkhpmhc

Ако използвате някое от тях:

• незабавно деинсталирайте или актуализирайте до поправена версия;
• нулирайте паролите и отменете активните сесии;
• прегледайте личните и служебните си акаунти за необичайна активност.

Разработчиците трябва да бъдат бдителни по отношение на опитите за фишинг и да активират надеждни проверки за сигурност на своите приложения.

В началото на месеца много потребители на Facebook бяха обект на фишинг атака от името на Meta AI. Това е компания, собственост на Meta, която разработва AI и AR/VR технологии. В случая обаче хакерите използваха името ѝ в кампания за кражба на акаунти.

Сега те са предприели нова тактика, представяйки се за „група ПОДКРЕПА във FACEBOOK”. В съобщенията се казва, че потребителят трябва да потвърди имейла и телефона си на посочен линк преди 1 януари 2025. В противен случай акаунтът може да бъдат заключени. Потвърждението трябва да се направи 24 часа след получаването на съобщението. Жертвата се предупреждава, че няма право на никаква обратна връзка, освен да последва посочения линк.

Това са типичните подходи при фишинг кампания – внушаване на спешност и липса на възможност за получаване на допълнителна информация. Стилистичните грешки в първите изречения също издават характера на съобщението.

За да се предпазите от подобни фишинг атаки във Facebook:

• не кликвайте на подозрителни линкове в съобщения, които идват от непознати профили;
• проверявайте автентичността на съобщенията от името на Meta по официалните канали за поддръжка. Компанията никога не се свързва с потребителите на лични;
• активирайте 2FA. Това добавя допълнителен слой защита, изисквайки втори метод за удостоверяване със SMS код или приложение за сигурност;
• Ако получите съмнително съобщение, използвайте опцията „Докладвай“ във Facebook.

Нова фишинг кампания използва имейли, маскирани като покани от Google Calendar, за да заобиколи защитите на приложенията за електронна поща. Тя е насочена към кражбата на идентификационни данни и измами с цел финансова печалба.

Кампанията, открита от Check Point Software, модифицира имейлите така, че да изглеждат като покана от легитимна организация или лице. Първоначално съобщенията са включвали само злонамерени .ics файлове от Google Calendar. След като става ясно, че софтуерите за сигурност ги хващат, хакерите усложняват подхода. Те добавят връзки към Google Drawings и Google Forms, за да прикрият по-добре дейността си.

Google Calendar се използва от повече от 500 милиона души и е достъпен на 41 различни езика. По този начин платформата осигурява мащабна повърхност за атаки и хакерите не си губят времето. За четири седмици те са изпратили повече от 4000 фишинг имейла. В тях са използвани препратки към повече от 300 бранда.

За да се защитите от тази нова фишинг заплаха, Google препоръчва активирането на настройката „познати изпращачи“ (known senders) в приложението. Тя ще ви предупреди, когато получите покана от някого, който не е в списъка ви с контакти, или с когото не сте взаимодействали преди.

Компаниите трябва да използват усъвършенствани решения за защита на електронната поща, които могат да идентифицират и блокират фишинг атаки. Те трябва да разполагат с функции за сканиране на прикачени файлове, проверки на репутацията на URL адреси и откриване на аномалии.

Не на последно място, използвайте MFA и регулярно обучавайте служителите си за най-новите тактики за фишинг.

Хакерска група е използвала Microsoft Teams, за да манипулира жертвата си да предостави отдалечен достъп до своята система.

Тази иновативна атака подчертава нарастващата сложност на тактиките за социално инженерство, използвани от киберпрестъпниците, посочват от Trend Micro.

Тя протича така:

• хакерите изпращат към жертвите поток от фишинг имейли;
• малко след това нападателят инициира разговор в Microsoft Teams, представяйки се за служител по техническата поддръжка;
• по време на разговора нападателят инструктира жертвата да изтегли легитимно приложение за отдалечена поддръжка – AnyDesk;
• след като то е инсталирано, той получава контрол над машината на жертвата и инсталира зловреден софтуер;
• чрез AnyDesk изпълнява команди и събира подробна информация за системата и мрежовите конфигурации.

За да се предпазите от подобни атаки:

• винаги проверявайте самоличността на трети страни, които се представят за техническа поддръжка, преди да предоставите достъп;
• създайте бял списък на одобрените инструменти като AnyDesk и въведете MFA за допълнителна сигурност;
• обучавайте регулярно служителите си за тактиките на социалното инженерство, като фишинг и вишинг, за да намалите податливостта към такива атаки.

Този инцидент служи като ярко напомняне за това как нападателите използват доверието и легитимните платформи като Microsoft Teams за зловредни дейности. Бдителността и проактивните мерки за сигурност са от съществено значение за осуетяване на подобни заплахи.

Над 200 000 създатели на съдържание в YouTube са станали мишена на киберпрестъпници в рамките на новооткрита фишинг кампания.

Злонамерените имейли се изпращат от името на известни брандове с теми като „Предложение за сътрудничество“ и „Възможност за маркетинг“. Те съдържат защитени с парола архиви, хоствани в облачни платформи като OneDrive.

След като се разархивират, изпълнимите файлове, маскирани като споразумения или рекламни материали, инсталират зловреден софтуер. Той е предназначен за кражба на чувствителна информация – данни за вход и бисквитки на сесии – или за получаване на отдалечен достъп до машината на жертвата.

За да се защитите:

• проверявайте задълбочено данните на подателя на имейла и потвърждавайте интереса чрез официалните канали на брандовете;
• избягвайте да теглите файлове или да кликате върху връзки от непознати или подозрителни източници;
• активирайте двуфакторно удостоверяване, за да добавите допълнително ниво на сигурност към своя акаунт в YouTube;
• редовно проверявайте профила си в YouTube за неоторизирани влизания или промени;
• уверете се, че всички, които участват в управлението на акаунта ви в платформата, са запознати с най-новите фишинг тактики.

 

Продължаваща фишинг кампания таргетира служители на над 30 компании от 12 индустрии в 15 държави, част от които европейски.

Досега тя успешно е разпространила над 200 зловредни връзки, предназначени за credential theft. Отраслите, към които е насочена тази фишинг операция, включват eнергетика, мода, финанси, аерокосмическа индустрия, производство, телекомуникации и държавна администрация.

Нападателите използват усъвършенствани техники за заобикаляне на защитите на електронната поща и избягване на откриването, предупреждават от компанията за киберсигурност Group-IB.

Те включват:

• Изпращане на фишинг имейли от доверени домейни;
• динамично брандиране на съобщенията в стила на атакуваната компания;
• имитации на официални платформи за работа с документи.

Нападателите вграждат злонамерени URL адреси в легитимни услуги като Adobe.com и Google AMP, което затруднява откриването им от инструментите за сигурност. Те използват и фалшиви известия от DocuSign.

За да не станете част от жертвите на тази кампания:

• активирайте MFA за допълнително ниво на сигурност;
• обучавайте служителите си да проверяват информацията при получаване на неочаквани имейли, преди да предприемат действия;
• прилагайте усъвършенствани системи за филтриране на електронна поща, които могат да откриват и блокират заплахите.
• редовно следете акаунтите си за неоторизиран достъп.

Професионалистите в киберсигурността оценяват положително въздействието на GenAI върху своята сфера.

Въпреки че технологията прави кибератаките по-опасни, 46% от тях смятат, че тя оказва положително влияние като цяло. 44% са неутрални, а едва 6% се изказват негативно, сочи докладът Generative AI and Cybersecurity: Risk and Reward на Ivanti.

Освен това 90% смятат, че GenAI е от полза за екипите по киберсигурността поне толкова или повече, отколкото за нападателите. 85% пък твърдят, че тези инструменти ще подобрят силно или умерено производителността на работата им.

GenAI има редица потенциални приложения в киберсигурността – от подобряване на ефективността на екипите до създаване на сигурен код. Технологията може да е полезна и предвид недостига на таланти с нужните умения. Според оценки на ISC2 в момента глобалният недостиг на такива наброява 4,8 млн. души.

Въпреки изразения оптимизъм респондентите признават, че GenAI ще увеличи значително сериозността на различните видове кибератаки. Попитани: „Кои от тези заплахи ще станат по-опасни благодарение на технологията?“, те ги подреждат в следния ред:

• фишинг (45%);
• използване на уязвимости в софтуера (38%);
• ransomware атаки (37%);
• използване на уязвимости, свързани с API (34%);
• DDoS атаки (31%);
• атаки, възполващи се от лошо криптиране (27%).

57% от професионалистите смятат, че обучението на служителите е най-важната защита срещу атаките със социално инженерство, задвижвани от GenAI. Въпреки това едва 32% казват, че обичайните обучителни програми са „много ефективни“ за защита от подобни заплахи.

Нова PhaaS платформа улеснява широкомащабните атаки от типа adversary-in-the-middle (AiTM) за кражба на идентификационни данни за Microsoft 365.

Rockstar 2FA позволява на нападателите да заобикалят MFA на целевите акаунти чрез прихващане на валидни сесийни бисквитки. Te насочват жертвите към фалшива страница за вход, имитираща Microsoft 365, и ги подмамват да въведат своите идентификационни данни.

AiTM сървърът действа като прокси и препраща тези данни към легитимната услуга на Microsoft. По този начин завършва процеса на удостоверяване и улавя „бисквитката“, когато тя се изпраща обратно към браузъра на целта. Тази бисквитка може да бъде използвана за директен достъп до акаунта на жертвата, дори ако той е защитен с MFA.

Rockstar 2FA е придобил значителна популярност сред киберпрестъпниците от август 2024 г. насам. Платформата се продава за 200 долара за две седмици. От май 2024 г. насам тя е създала над 5000 фишинг домейна, които улесняват различни зловредни операции.

Съобщенията използват различни примамки – уведомления за споделяне на документи, известия от ИТ отдела, предупреждения за смяна на парола и др. Те разчитат на редица методи за избягване на блокиране, включително QR кодове, включване на връзки от легитимни услуги и прикачени PDF файлове.

Във времена на лесен достъп до мощни фишинг инструменти всеки трябва да е много внимателен с имейлите, които получава. Особено ако те съдържат файлове или линкове.