Šta se desilo?

Bezbednosna kompanija Barracuda analizirala je novu fišing kampanju koja se razlikuje od klasičnih napada jer završna fišing stranica nije hostovana kao uobičajeni web sajt. Umesto toga, napadači koriste blob URL kako bi zlonamerni sadržaj generisali direktno u browseru žrtve.

Blob URL je privremena adresa koju kreira sam browser za sadržaj koji se nalazi u memoriji. Zbog toga ne postoji klasična fišing stranica sa stalnim URL-om koju bezbednosni sistemi mogu jednostavno analizirati, staviti na listu blokiranih adresa ili naknadno proveriti.

Napadači dodatno koriste legitimne Microsoft servise u lancu preusmeravanja, čime pokušavaju da smanje broj upozoravajućih znakova i povećaju poverenje korisnika.

Kako funkcioniše napad?

Napad počinje email porukom koja imitira DocuSign i sadrži kalendarski poziv. Sam kalendarski fajl nije zlonameran, već služi da poruka izgleda kao legitimna poslovna komunikacija.

Nakon interakcije korisnika, posebno pripremljeno preusmeravanje vodi kroz legitimnu Microsoft OAuth infrastrukturu i Microsoft Teams. Teams zatim učitava spoljni resurs sa servera cdn.bloom[.]io, a browser taj sadržaj pretvara u blob URL i lokalno prikazuje fišing stranicu.

Prema analizi Barracude, service worker, sandboxovani iframe i serverska infrastruktura napadača zatim upravljaju daljim tokom napada i navigacijom korisnika. Barracuda je pronašla i konfiguraciju koja pokazuje da napadači mogu centralno da menjaju ponašanje stranice i upravljaju kampanjom za više žrtava.

Koga pogađa?

Kampanja može pogoditi korisnike poslovnih email i Microsoft 365 okruženja, posebno zaposlene koji svakodnevno koriste servise kao što su Microsoft Teams, DocuSign i Microsoft autentifikacija.

Napad se oslanja na poverenje korisnika u poznate poslovne servise i uobičajene procese poput potpisivanja dokumenata, kalendarskih poziva i prijavljivanja na Microsoft nalog.

Kako se zaštititi?

  • Budite oprezni sa neočekivanim zahtevima za potpisivanje dokumenata i kalendarskim pozivima, čak i kada koriste poznate brendove.
  • Ne smatrajte stranicu bezbednom samo zato što je deo početnog lanca preusmeravanja na legitimnom Microsoft domenu.
  • Koristite phishing-resistant autentifikaciju, poput passkey ili FIDO2 bezbednosnih ključeva, gde god je dostupna.
  • Obratite pažnju na neočekivane zahteve za ponovnu prijavu ili unos korisničkog imena i lozinke.
  • Organizacije bi trebalo da prate neuobičajene OAuth tokove, preusmeravanja i autentifikacione zahteve.
  • Bezbednosni sistemi treba da analiziraju kompletan put klika i preusmeravanja, a ne samo prvi URL iz email poruke.
  • Za poslovna okruženja korisno je pratiti neuobičajenu upotrebu blob URL-ova, posebno kada se koriste za prikaz stranica za prijavljivanje.

Tehnički detalji

Ključna karakteristika napada je korišćenje blob URL-a. Za razliku od klasične fišing stranice smeštene na serveru napadača, završni sadržaj se generiše i prikazuje lokalno u okviru sesije browsera korisnika.

Napadači koriste legitimne Microsoft OAuth i Teams servise kao deo lanca preusmeravanja, nakon čega se sadržaj sa spoljnog servera pretvara u blob URL.

Fišing stranica koristi service worker i sandboxovani iframe za upravljanje zahtevima i navigacijom, dok komunikacija sa infrastrukturom napadača omogućava dinamičko menjanje ponašanja kampanje.

Ovakav pristup otežava zaštitu zasnovanu isključivo na reputaciji domena i statičnim listama zlonamernih URL-ova, jer završna fišing stranica nema klasičnu, trajnu internet adresu.

Zašto je važno?

Početni link na poznatom domenu nije dovoljan dokaz bezbednosti celog toka prijave. Barracuda ne navodi potvrđene žrtve u Srbiji ili regionu, niti ukupan broj kompromitovanih naloga.

Ova kampanja pokazuje da provera samog domena više nije dovoljna. Organizacije moraju da posmatraju kompletan tok korisničke aktivnosti, uključujući preusmeravanja, ponašanje browsera i autentifikacione zahteve.

Preporuka Sajber Radara

Budite oprezni sa neočekivanim zahtevima za potpisivanje dokumenata i prijavljivanje na naloge, čak i kada link na prvi pogled vodi preko poznatog Microsoft servisa. Ne unosite pristupne podatke ako niste sigurni zašto se od vas ponovo traži autentifikacija.

Organizacijama preporučujemo korišćenje phishing-resistant autentifikacije, poput passkey ili FIDO2 metoda, kao i bezbednosnih rešenja koja analiziraju kompletan lanac preusmeravanja, OAuth aktivnosti i ponašanje unutar browsera.