В выпуске – три наблюдения о том, как злоумышленники заранее создают доверие к следующему шагу атаки. В одном случае путь начинался на настоящем домене Microsoft, в другом ложный покупатель объяснял будущий запрос пароля, а в Германии компании получали бумажные письма с QR-кодом.


OAuth-ошибка переводит на фишинговую страницу

Sandfish 5 ноября разобрала цепочку, в которой ссылка начиналась на настоящем сервисе входа Microsoft login.microsoftonline.com [1]. После ошибки OAuth браузер переходил на отдельную страницу сбора паролей, оформленную под организацию получателя. Исходный канал доставки, страна и отрасль цели не раскрыты.

Конечная страница получала от PHP-коллектора сведения об организации и состоянии входа, а затем показывала интерфейс Microsoft 365. Исследователи ввели синтетический пароль и получили ошибку. Успешную авторизацию, перехват многофакторного подтверждения и доступ к данным они не проверяли и не наблюдали.

Клиентский код и протокол коллектора позволяют с умеренной уверенностью связать цепочку с набором CodeStorm. Несколько более ранних захватов использовали тот же клиентский код, но разные коллекторы. Возможная связь со Storm-1167 основана на сходстве инфраструктуры и кода доставки, а не на доказанном общем операторе.

Начало маршрута на домене Microsoft может снизить настороженность пользователя и затруднить простую проверку ссылки. Защитным системам нужно анализировать конечный адрес всей цепочки редиректов и сопоставлять переходы с журналами входа. Для учётных записей с доступом к важным данным нужна фишинг-устойчивая многофакторная аутентификация.

Ложный покупатель заранее объяснил запрос пароля

IRONSCALES 8 ноября описала попытку против инженера по ключевым клиентам американского производителя промышленных разъёмов [2]. Атакующий выдавал себя за менеджера проекта реальной строительной компании и обсуждал покупку настоящей детали. Названия организаций и сотрудника не раскрыты.

Переписка развивалась 13–16 октября. Продавец ответил на первоначальный запрос, задал вопросы и дважды предложил видеозвонок. Ложный покупатель отказался, сославшись на рабочие ограничения и расписание, а затем заявил, что отправил техническую спецификацию через WeTransfer.

В том же сообщении сотруднику заранее велели войти в Microsoft и ввести пароль при запросе. Ссылки и вложения в зафиксированном письме не было: оно должно было сделать будущую форму входа ожидаемой и менее подозрительной. Коллега сообщил о письме, после чего аналитик подтвердил его вредоносный характер.

Исследователи не установили, как поступил первый запрос, пришло ли отдельное письмо WeTransfer и открывалась ли фишинговая страница. Передача учётных данных и компрометация организации не подтверждены. Разбор показывает риск для отделов продаж, где ответы незнакомым контрагентам входят в рабочий процесс. Необычный файловый сервис, отказ от голосовой проверки и просьба ввести корпоративный пароль требуют подтверждения через независимый канал.

Бумажное письмо выводит атаку за пределы почтового шлюза

Немецкая торгово-промышленная палата DIHK 6 ноября предупредила о второй волне поддельных писем для компаний и предпринимателей [3]. Схему впервые заметили в конце сентября. Теперь адресатам снова предлагают срочно обновить данные в торговом реестре.

Приманка приходит обычной почтой. От имени несуществующего руководителя реестра получателю угрожают штрафом до 50 000 евро и удалением записи, если он не пройдёт проверку. QR-код ведёт на страницу, которая имитирует ресурс IHK и собирает сведения компании.

В корпоративной электронной почте нет ссылки или вложения для проверки: переход начинается на бумаге и продолжается на мобильном устройстве. DIHK подтверждает новую волну, но не называет число писем, домены поддельных страниц, объём собранных данных или случаи успешной компрометации.

Требования изменить регистрационные сведения следует проверять на официальном сайте и через известные контакты палаты. Процедуры верификации должны охватывать не только электронную почту, но и бумажные письма, QR-коды и обращения, которые создают срочность угрозой штрафа.

Источники

[1] https://sandfi.sh/blog/microsoft-oauth-error-redirect-phishing

[2] https://ironscales.com/threat-intelligence/fake-buyer-tells-sales-rep-to-expect-microsoft-password-prompt

[3] https://www.dihk.de/de/warnung-datenklau-per-mail-sms-und-telefon-158562