Мошенники прячут фишинговые ссылки в метатегах
Новости Безопасность
Эксперты компании Avanan обнаружили оригинальную фишинговую компанию, сообщает Threatpost. Кибермошенники рассылают электронные письма, замаскированные под сообщения голосовой почты Office 365, и перенаправляют жертву на скомпрометированный сайт при помощи механизма, получившего название MetaMorph Obfuscation (обфускация MetaMorph). Алгоритм не вызывает подозрений у защитных систем, потому что вредоносная ссылка скрыта в метатеге документа.
Исследователи отмечают, что обычно злоумышленники размещают адрес страницы в специализированных HTML-тегах, таких как <a href> или <script> — и документы с такими вложениями легко детектируются встроенными средствами безопасности Microsoft Office. В случае с MetaMorph Obfuscation киберпреступники использовали оператор <meta> с параметром http-equiv="refresh", который позволяет принудительно открыть целевой сайт.
Атака начинается с электронного письма, которое имитирует уведомление голосовой почты Office 365. С целью затруднить выявление опасного контента, большая часть текста в теле сообщения помещается в изображениях, а получателю предлагают открыть приложенный к письму HTML-файл, чтобы прослушать голосовое сообщение. Вредоносный документ запускается в браузере и переадресует жертву на принадлежащий злоумышленникам ресурс, копирующий оформление страницы авторизации Office 365.
Сайт мошенников предлагает посетителю ввести логин и пароль своей учетной записи. Скрипт диалоговой формы пересылает полученные данные на сервер злоумышленников, расположенный в Пакистане. Его IP-адрес жестко зашит в коде веб-страницы. Эксперты отмечают, что это является необычным для подобных ресурсов – киберпреступники, как правило, скрывают местоположение центра управления.
|
|
|
