Инновационный механизм маскировки
Компания по кибербезопасности Kela обнаружила сложную фишинговую кампанию, нацеленную на финансовые институты, в рамках которой злоумышленники полагаются на технологию дезинформации, мешающую службам безопасности и провайдерам хостинга обнаруживать вредоносный контент. Эта кампания основана на регистрации IP-адресов посетителей: в то время как первый посетитель видит поддельную страницу входа в банк, любой последующий посетитель (включая средства проверки безопасности) сталкивается со страницей, которая выглядит так, будто она принадлежит к «приостановленной учетной записи» от хостинг-провайдера, что создает впечатление, будто сайт уже заблокирован.
Почему эта новость важна?
Опасность этой инфраструктуры заключается в ее способности обходить традиционные меры защиты. Когда группа безопасности или поставщик услуг сообщает о подозрительном сайте, они обычно проверяют его снова, чтобы подтвердить блокировку. В этом случае следователям отображается фальшивая страница, что приводит к классификации домена как «неактивного», в то время как сайт продолжает нацеливаться на новых жертв. Такая тактика усложняет для групп реагирования на инциденты задачу эффективной остановки кампании, поскольку обнаружение реального контента требует использования нового IP-адреса для каждой проверки.
Детали и масштабы кампании
Кампания началась в мае 2026 года и расширилась, охватив более 300 фальшивых доменов, из которых 248 были нацелены примерно на 189 американских финансовых институтов, с особым акцентом на региональные банки среднего размера. Расследования также показали, что кампания распространяется на жертв в Великобритании, Австралии и Новой Зеландии. Сайты используют схемы именования, основанные на таких словах, как «secure» или «authorize», за которыми следует название банка, причем появляется новая категория, использующая такие названия, как «help-desk» и «live-support», для имитации порталов технической поддержки.
Проблемы противодействия
Kela выделяет четыре фактора, которые затрудняют остановку этой инфраструктуры:
- Простой формат именования: который можно легко повторить для любого финансового учреждения.
- Использование Cloudflare: для сокрытия фактического местоположения хостинга.
- Технология маскировки: отображение страницы «Приостановка» при втором посещении для дезориентации проверяющих.
- Общие серверы: которые обеспечивают непрерывность кампании, даже если один домен заблокирован.
Результаты показывают, что кампания в первую очередь нацелена на учетные данные корпоративного банкингового обслуживания и казначейства, а также использует скрипты для предотвращения использования инструментов разработчика в браузерах, что еще больше усложняет процесс технического анализа сайта.