Šta se desilo?

MKD-CIRT je 8. oktobra preneo nalaze ANY.RUN-a o phishing kompletu Wazza. Infrastruktura proverava posetioce pre nego što prikaže završnu stranicu sa izgledom Adobe servisa i zahtevom za prijavu putem koda uređaja, poznatim kao device code.

Koga pogađa?

Prema prenetom istraživanju, aktivnost je usmerena ka bankarskim, proizvodnim i državnim organizacijama u SAD, Evropi i Australiji. To nije potvrda uspešne kompromitacije svake ciljane organizacije. Broj žrtava i napadi na konkretne organizacije u Srbiji nisu navedeni.

Kako se zaštititi?

  • Ne unosite kod uređaja koji ste dobili kroz neočekivanu poruku i ne odobravajte prijavu koju niste sami pokrenuli.
  • Sumnjiv zahtev proverite sa IT službom preko poznatog, nezavisnog kanala.
  • Administratori Microsoft Entra okruženja treba da blokiraju device code flow gde nije poslovno potreban, uz prethodnu proveru legitimne upotrebe i pažljivo definisane izuzetke.
  • Ako je korisnik odobrio sumnjivu prijavu, pokrenite proveru naloga, opoziv sesija i tokena i pregled aktivnosti. Sama promena lozinke nije zamena za odgovor na incident.

Tehnički detalji

Opisani lanac uključuje proveru kampanje, identifikator posetioca i kratkotrajni potpisani token koji infrastruktura proverava zajedno sa telemetrijom iz browser-a. Zatim sledi dodatno preusmeravanje do phishing stranice. Ove kontrole otežavaju automatizovanu analizu, ali ne znače da je otkrivanje nemoguće.

Adobe izgled predstavlja mamac, a ne dokaz ranjivosti Adobe proizvoda. Device-code phishing može navesti korisnika da na legitimnoj stranici odobri pristup koji je pokrenuo napadač. Uspešno izvršena MFA provera zato sama po sebi ne čini takav zahtev bezbednim. Izveštaj ne navodi CVE, CVSS ili ranjive verzije.

Zašto je važno?

Bezbednosni skener i korisnik mogu dobiti različit sadržaj sa iste početne adrese. Procena samo početnog linka zato može propustiti završni phishing mamac.

Preporuka Sajber Radara

Povežite proveru sumnjivih poruka sa zapisima o prijavljivanju i izdavanju tokena. Analizu preusmeravanja obavljajte u izolovanom okruženju. Ne oslanjajte se samo na blokiranje jednog domena ili na prisustvo MFA; proverite ko je pokrenuo zahtev i koji pristup korisnik odobrava.