Phishing комплектът Wazza се насочва към банковия, държавния и производствения сектор в САЩ, ЕС и Австралия

Фишинг китовете вече не се ограничават до копиране на позната страница за вход и изчакване жертвата да въведе идентификационни данни. Атакуващите все по-често внедряват филтриране, управление на сесии и контрол на трафика директно в инфраструктурата, която доставя самата фишинг страница.

ANY.RUN идентифицира Wazza – нов phishkit (фишинг кит), насочен към банкови, производствени и правителствени организации в САЩ, Европа и Австралия. Кампанията използва многоетапна верига от маршрутизиране за проверка на посетителите и автоматизирания трафик, преди да предостави фишинг страница за Device Code с тема Adobe.

За екипите по сигурност това прави Wazza нещо повече от поредния зловреден URL адрес. Кампанията показва как атакуващите могат да контролират пътя до крайната примамка, правейки първоначалната връзка по-малко информативна и потенциално затруднявайки автоматизираното откриване.

Доставчиците на управлявани услуги за сигурност (MSSP) са изправени пред допълнително предизвикателство, тъй като разследват сигнали в средите на множество клиенти, докато поддържат времето за реакция под контрол. Тази несигурност може да се преведе директно в по-дълго време за разследване и ненужни ескалации.

Wazza използва многоетапно маршрутизиране, за да скрие своята фишинг страница

Wazza не изпраща всеки посетител директно към своята фишинг страница. Вместо това фишинг китът използва многоетапна верига от маршрутизиране, за да определи кои заявки трябва да достигнат до крайния зловреден код.

За да видите как работи това на практика, нека проследим анализ на Wazza в интерактивната изолирана среда (Interactive Sandbox) на ANY.RUN.

Потокът започва от заместващ целеви домейн (wildcard landing domain), [.]boegl-krysl[.]eu, където посетителят се пренасочва към /api/wazza-config. Тази крайна точка проверява дали името на хоста принадлежи на активна кампания.

След това инфраструктурата се свързва с beacon-surge-sync[...]workers[.]dev, който издава клиентски маркер, използван за съпоставяне на посещението. След това /api/mint-token генерира кратковременен подписан маркер (token) за сесията.

Този маркер се предава на check[.]boegl-krysl[.]eu, където Wazza валидира маркера и телеметрията на браузъра и филтрира нежелания трафик.

Едва след тези проверки посетителят продължава през boegl-krysl[.]eu/r и /meline, достигайки накрая до крайната фишинг страница за Device Code с тема Adobe.

Използването на разпознаваема услуга като визуална тема придава познат вид на крайния етап, докато потокът Device Code осигурява на атакуващия начин да се насочи към автентификацията на акаунта, вместо да разчита единствено на конвенционално събиране на пароли.

Това прави крайната примамка само един компонент от по-голяма операция. Инфраструктурата първо определя дали на посетителя трябва да се покаже фишинг страницата. Компонентът на социалното инженерство идва след това, след като кампанията е установила сесия, която смята за подходяща.

Този многослоен подход е важен за защитниците, тъй като даден URL адрес може да изглежда сравнително незабележим, докато поведението му не бъде възпроизведено в правилната среда.

Дайте на екипа си необходимия контекст, за да разследва фишинг заплахите по-бързо и осигурете 30% по-малко ескалации от Ниво 1 към Ниво 2.

Обхватът на Wazza в ключови сектори: правителствен, банков и производствен

ANY.RUN идентифицира активност на Wazza в САЩ, Европа и Австралия, като банковият, производственият и правителственият сектор са сред засегнатите.

Тези организации управляват високостойностни бизнес процеси и обработват информация, която може да бъде атрактивна за атакуващите. Финансовите институции управляват чувствителни акаунти и транзакции, производителите зависят от взаимосвързани корпоративни среди и бизнес системи, докато правителствените организации управляват чувствителна информация и критични услуги.

Но значението на кампанията надхвърля тези отделни сектори. Инфраструктурата на Wazza демонстрира техника за доставка на фишинг, която може да бъде адаптирана към различни цели. Крайното брандиране може да се промени, докато базовият подход — филтриране на посетители, валидиране на сесии и избирателно доставяне на примамката — остава полезен за киберпрестъпниците.

Темата Adobe също така отразява как операторите на фишинг продължават да използват познати марки, за да накарат заявките за автентификация да изглеждат рутинни.

Брандирането може да се промени, но целта е постоянна: да се убеди жертвата да завърши действие по автентификация, което може да осигури на атакуващия достъп до акаунт или сесия.

Защо Wazza създава по-голям проблем за MSSP

За един MSSP уклочивият фишинг кит създава различно предизвикателство в сравнение с обикновен зловреден URL адрес.

Доставчикът не разследва една-единствена среда. Анализаторите може да отговарят за множество клиенти, различни среди за сигурност и големи обеми от сигнали, често работейки при дефинирани изисквания за време за реакция и ескалация.

Wazza добавя несигурност към този работен поток. Подозрителен URL адрес може първоначално да изглежда безобиден, тъй като крайната фишинг страница не се сервира веднага. Автоматизираните системи за сигурност могат да получат различно съдържание от реалния посетител. А анализатор, който не може да възпроизведе пълната последователност от маршрутизиране, може да се наложи да ескалира разследването просто за да установи какво всъщност доставя URL адресът.

Резултатът може да бъде познат проблем за MSSP: повече време, прекарано в разследване, повече случаи, преминаващи към старши анализатори, и по-малък капацитет за наистина сложни инциденти.

Ето защо възможността за взаимодействие с подозрително съдържание в изолирана среда е от значение.

Интерактивната изолирана среда (Interactive Sandbox) на ANY.RUN позволява на анализаторите да отварят подозрителни URL адреси с помощта на виртуални машини, които стартират за под 10 секунди, да взаимодействат с получените страници, да следват пренасочвания и да наблюдават мрежовата и поведенческата активност.

Използвайки решенията, анализаторите могат да получат изчерпателни доклади за Ниво 1 за около 40 секунди, индикатори за компрометиране (IOC), екранни снимки, графики на процеси и картографиране по MITRE ATT&CK.

За атака като Wazza оперативната стойност е ясна: колкото по-бързо анализаторите могат да възпроизведат веригата на атаката и да установят надеждна присъда, толкова по-малко вероятно е фишинг разследването да консумира непропорционално много ресурси на старши анализатори.

Едно разследване на Wazza може да разкрие повече от един IOC

Инфраструктурата зад Wazza не трябва да се разглежда просто като списък от домейни за блокиране.

Нейното многостепенно маршрутизиране създава няколко опорни точки за събиране на разузнавателни данни. Анализаторът може да започне с един подозрителен URL адрес и да разкрие допълнителни домейни, крайни точки, пътища на пренасочване и поведенчески индикатори, свързани с кампанията.

Услугата ANY.RUN Threat Intelligence Lookup (TI Lookup) предоставя друг начин за разследване на тези връзки. Анализаторите могат да преминат от IOC към свързана заплашителна активност и да използват актуализации на заявките, за да проследяват промените във времето.

За MSSP подозрителен Wazza домейн, открит при разследване на един клиент, може да се превърне и в начална точка за търсене на свързана активност в други среди. Това помага на анализаторите да идентифицират връзки дори когато атакуващите променят отделни индикатори, но запазват елементи от същата кампания.

Непрекъснатото разузнаване на заплахи превръща констатациите в постоянен мониторинг

Блокирането на един Wazza домейн не означава непременно край на кампанията. Фишинг инфраструктурата може да се променя, домейните могат да се заменят, а логиката на маршрутизиране може да се модифицира, докато атакуващите се адаптират към откриването. Ето защо статичният списък с IOC има ограничен жизнен цикъл.

Потоците от данни ANY.RUN Threat Intelligence Feeds (TI Feeds) са проектирани да превърнат IOC в непрекъснат мониторинг, като предават 99% уникални, потвърдени индикатори и поведенчески данни за заплахи в средите за сигурност. Решението поддържа и STIX/TAXII, API и SDK, което позволява разузнавателните данни да бъдат внедрени в съществуващите работни процеси за сигурност.

Мащабът е основното предимство за MSSP. Анализаторът може да разследва Wazza URL адрес, да идентифицира полезни индикатори, да ги потвърди и да направи тези разузнавателни данни достъпни за системите, наблюдаващи средите на клиентите. Доставчикът не трябва ръчно да повтаря същото проучване за всеки клиент, който може да е изложен на риск.

Разследването ефективно се превръща в източник на данни за откриване за многократна употреба.

До 58% повече идентифицирани заплахи. Разширете покритието си срещу заплахи с актуални разузнавателни данни с висока степен на надеждност.

Използване на интеграции за въвеждане на разузнавателни данни в работните процеси за сигурност

Разузнавателните данни за заплахи са най-полезни, когато достигнат до системите, които анализаторите вече използват за откриване и реагиране.

ANY.RUN осигурява интеграции с платформи, включително Microsoft Sentinel, Microsoft Defender, Splunk, Cortex XSOAR, IBM QRadar, MISP, TheHive, ThreatConnect, Tines, Torq и други.

За MSSP това е важна част от работния процес, тъй като доставчиците на услуги за сигурност вече имат установени процеси за събиране на сигнали за тревога, обогатяване на разследванията и задвижване на действия за реагиране.

Целта не е да се създаде друг изолиран източник на разузнавателни данни, който анализаторите трябва да проверяват ръчно. Това позволява резултатът от едно разследване да допринесе за защитата в целия SOC.

Потенциално въздействие на фишинг атака с Wazza

Непосредствената цел на Wazza е да предостави фишинг страница с тема Adobe за кода на устройството (Device Code), но потенциалното въздействие не свършва непременно с първата успешна автентификация.

• Компрометиране на акаунт: Успешният фишинг процес за код на устройство може да даде на атакуващите достъп до целеви акаунти или сесии.
• Злоупотреба с доверена самоличност: Компрометираният акаунт може да предостави доверена самоличност за комуникация с колеги, партньори или клиенти.
• Последващ фишинг: Атакуващите потенциално могат да използват компрометираните бизнес самоличности, за да стартират допълнителни опити за фишинг.
• Разкриване на инфраструктурата: Веригата на маршрутизиране осигурява допълнителни домейни, крайни точки и поведенчески индикатори, които могат да помогнат на защитниците да разберат по-широката кампания.
• Увеличено усилие за реагиране: Когато злонамереното поведение е скрито зад множество проверки, възпроизвеждането на атаката и установяването на нения обхват може да изисква допълнително време от анализатора.

Основната разлика е, защо Wazza не е просто фишинг целева страница. Нейната инфраструктура е проектирана да контролира кой достига до примамката и при какви условия, добавяйки слой за избягване на откриването преди компонента на атаката за социално инженерство.

Превръщане на разследванията на Wazza в мащабируема защита

Най-силният отговор срещу Wazza не е просто блокиране на домейните, свързани с една кампания. Разследването може да се превърне в начална точка за повторим процес, който превръща отделните констатации в по-широка защита.

Подозрителен URL адрес може да бъде детониран в интерактивна изолирана среда, за да се разкрие поведението му, давайки на анализаторите от ниво 1 (Tier 1) необходимия контекст за вземане на решение, без автоматично да ескалират случая. Relevantните IOC могат след това да бъдат разследвани чрез Threat Intelligence Lookup, за да се идентифицира свързаната активност.

Потоците ANY.RUN Threat Intelligence Feeds могат да развият тези констатации, като превърнат потвърдените индикатори в постоянно актуализирани разузнавателни данни. Вместо да разчитат на еднократно блокиране, MSSP могат да използват свежи данни за заплахи, за да помогнат за защитата на множество клиентски среди с развитието на кампанията.

Резултатът е работен процес, който преминава от разследване към разузнаване и защита, вместо да приключва, когато един злонамерен URL адрес бъде блокиран.

Тази разлика е от значение за MSSP, тъй като мащабът на проблема не се определя от това колко фишинг URL адреса даден анализатор може да разследва индивидуално. Той се определя от това колко полезни разузнавателни данни екипът може да извлече от всяко разследване и колко ефективно тези данни могат да бъдат приложени в клиентската база.

Спестете 21 минути от средното време за отговор (MTTR) и помогнете на вашия MSSP екип да реагира по-бързо на заплахите за клиентите.

Wazza показва защо фишинг страницата е само част от атаката

Wazza демонстрира, че фишинг страницата е само крайният етап от една по-контролирана система за доставка. Зад връзката атакуващите могат да използват проверки на кампанията, токени за сесия, валидиране на браузъра и многослойно маршрутизиране, за да контролират кой достига до примамката.

За защитниците разбирането на тази верига на атака е също толкова важно, колкото и идентифицирането на крайния URL адрес. За MSSP комбинирането на интерактивна изолирана среда, разузнаване на заплахи и интеграции помага да се превърнат отделните разследвания в приложими разузнавателни данни, които могат да защитят множество среди.

Ефективната защита срещу фишинг означава разбиране на случващото се зад връзката и превръщане на тази видимост в мащабируема защита.