Apple, Google, Facebook, Microsoft, Twitter, Github, GODADDY'de çok faktörlü kimlik doğrulama (MFA) atlamak için kimlik doğrulama jetonlarını çalmayı vaat ederek, Hizmet Olarak Hizmet Olarak Ters Hizmet (PAAS) platformu ortaya çıktı. Pypi bile.
Hizmet, aksi takdirde iyi korunan çevrimiçi hesapları çalmak için ters vekilleri nasıl ayarlayacağını bilmeyen düşük sevimli tehdit aktörlerini sağlar.
Ters proxy'ler, hedeflenen kurban ve şirketin giriş formu gibi meşru bir kimlik doğrulama uç noktası arasında oturan sunuculardır. Mağdur bir kimlik avı sayfasına bağlandığında, ters proxy meşru giriş formunu görüntüler, istekleri iletir ve yanıtları şirketin web sitesinden döndürür.
Mağdur kimlik bilgilerini ve MFA'yı kimlik avı sayfasına girdiğinde, kullanıcının giriş yapıldığı gerçek platformun sunucusuna iletilir ve bir oturum çerezi döndürülür.
Bununla birlikte, tehdit oyuncusu vekili ortada otururken, kimlik doğrulama jetonunu içeren oturum çerezini de çalabilir. Tehdit aktörleri daha sonra bu kimlik doğrulama çerezini kullanıcı olarak siteye giriş yapmak için kullanabilir ve yapılandırılmış çok faktörlü kimlik doğrulama korumalarını atlayabilir.
Sofistike APT grupları, hedef hesaplardaki MFA korumalarını, bazıları kendi özel araçlarını kullanırken, diğerleri Modlishka, Necrobrowser ve Evilginx2 gibi daha kolay dağıtılabilir kitleri kullanan bir süredir ters vekil kullanıyor.
Bu kimlik avı çerçeveleri ve kötüproxy arasındaki fark, ikincisinin dağıtılması çok daha kolay olması, ayrıntılı öğretim videoları ve öğreticiler, kullanıcı dostu bir grafik arayüz ve popüler internet hizmetleri için zengin bir klonlanmış kimlik avı sayfası sunmasıdır.
Siber güvenlik firması yeniden güvence, kötülük aktörlerinin kimlik avı kampanyalarını ve bunları destekleyen tüm ayrıntıları kurabileceği ve yönetebileceği kullanımı kolay bir GUI sunduğunu bildiriyor.
Hizmet, on gün için 150 $, 20 gün için 250 $ veya bir ay süren kampanya için 400 $ karşılığında kullanıcı adlarını, şifreleri ve oturum çerezlerini çalmayı vaat ediyor. Google hesaplarına yönelik saldırılar daha pahalıya, 250/450/600 dolar.
Aşağıdaki videoda, yeniden güvenlik, bir Google hesabına karşı bir saldırının EvilProxy yoluyla nasıl ortaya çıkacağını gösterir.
Hizmet, çeşitli ClearNet ve Dark Web hackleme forumlarında aktif olarak tanıtılırken, operatörler müşterileri araştırır, böylece bazı potansiyel alıcılar muhtemelen reddedilir.
Resculity'ye göre, hizmet için ödeme telgraf üzerinde ayrı ayrı düzenlenmiştir. Depozito yapıldıktan sonra, müşteri Soğan Ağı'nda (TOR) barındırılan portala erişir.
Resculity'nin platform testi, EvilProxy'nin ayrıca platformun barındırdığı kimlik avı sitelerinde geçersiz veya istenmeyen ziyaretçileri filtrelemek için VM, anti-analiz ve anti-bot koruması sunduğunu doğruladı.
Raporda, “Kötü aktörler, kurbanları tanımak ve kimlik avı kiti kodunu algılanmaktan korumak için birden fazla teknik ve yaklaşım kullanıyor” diye açıklıyor.
“Sahtekarlık önleme ve siber tehdit zekası (CTI) çözümleri gibi, bilinen VPN hizmetleri, vekiller, TOR çıkış düğümleri ve IP itibar analizi (potansiyel kurbanların) için kullanılabilecek diğer ana bilgisayarlar hakkında verileri toplarlar.”
MFA benimsemesi artmaya devam ettikçe, daha fazla tehdit aktörleri ters proxy araçlarına yönelir ve dolandırıcılar için her şeyi otomatikleştiren bir platformun görünümü güvenlik profesyonelleri ve ağ yöneticileri için iyi bir haber değildir.
Şimdilik, bu sorun yalnızca ortadaki insan taleplerini tanımlamak ve filtrelemek için istemci tarafı TLS parmak izi uygulayarak adreslenebilir. Ancak, bu uygulamanın sektördeki durumu gelişmelerle senkronize değildir.
Bu nedenle, EvilProxy gibi platformlar esasen beceri boşluğunu kapatır ve düşük katmanlı tehdit aktörlerine değerli hesaplar çalmak için uygun maliyetli bir yol sunar.
Yeni MFA-Bypassing kimlik avı kiti ile hedeflenen Microsoft hesapları
Instagram kimlik avı saldırısında binlerce mavi rozetle çekildi
Doordash, Twilio Hacker'larına bağlı yeni veri ihlalini açıklıyor
OKTA bir kerelik MFA Passcodes Twilio Cyberattack'da maruz kaldı
Twilio Hackers, Masif Okta Kimlik Avı Saldırısında 130'dan fazla orgs'a çarptı
Kaynak: Bleeping Computer