Il nuovo terrore digitale: kit di phishing personalizzati per rubare le tue credenziali

ANALISI TECNICA

Okta ha avvertito riguardo a kit di phishing personalizzati progettati specificamente per attacchi di ingegneria sociale basati sulla voce (vishing). Questi kit vengono utilizzati attivamente in attacchi per rubare le credenziali SSO di Okta per il furto di dati.

Secondo un nuovo rapporto rilasciato da Okta, i kit di phishing vengono venduti come parte di un modello "as a service" e vengono attivamente utilizzati da più gruppi di hacker per prendere di mira fornitori di identità, tra cui Google, Microsoft e Okta, e piattaforme di criptovalute.

• Differenza rispetto ai siti di phishing statici tradizionali: Queste piattaforme "adversary-in-the-middle" sono progettate per l'interazione in tempo reale tramite chiamate voce, consentendo agli aggressori di modificare il contenuto e visualizzare i dialoghi in tempo reale durante una chiamata.
• Caratteristiche principali dei kit di phishing: Manutenzione in tempo reale del bersaglio tramite script che danno all'aggressore il controllo diretto sul processo di autenticazione della vittima. Quando la vittima inserisce le credenziali nella pagina di phishing, queste vengono inoltrate all'attaccante, che tenta quindi di accedere al servizio mentre è ancora in chiamata.
• Sincronizzazione MFA: Quando il servizio risponde con una sfida MFA, come una notifica push o un OTP, l'aggressore può selezionare un nuovo dialogo che aggiorna istantaneamente la pagina di phishing per corrispondere a ciò che vede la vittima quando tenta di accedere. Questa sincronizzazione rende le richieste MFA fraudolente appaiono legittime.
• Pianificazione degli attacchi: Okta afferma che questi attacchi sono altamente pianificati, con gli attori minacciosi che eseguono attività di ricognizione su un dipendente mirato, incluso l'utilizzo delle applicazioni e i numeri di telefono associati al supporto IT della loro azienda. Creano quindi pagine di phishing personalizzate e chiamano la vittima utilizzando numeri aziendali o di assistenza tecnica falsi.
• Bypass del MFA: Queste piattaforme possono aggirare il MFA basato su push moderno, incluso il matching dei numeri, perché gli aggressori dicono alle vittime quale numero selezionare. Allo stesso tempo, il C2 del kit di phishing fa in modo che il sito Web visualizzi una richiesta corrispondente nel browser.

Okta raccomanda ai clienti di utilizzare MFA resistenti al phishing come Okta FastPass, chiavi di sicurezza FIDO2 o passkeys.

Contesto: DI MERCATO/SICUREZZA

Okta ha emesso un avvertimento riguardo a kit di phishing personalizzati progettati specificamente per gli attacchi di engenieria sociale basata sulla voce (vishing). Secondo BleepingComputer, questi kit vengono utilizzati in attacchi attivi per rubare le credenziali SSO di Okta con lo scopo di rubare dati.

In un nuovo rapporto pubblicato da Okta, i ricercatori spiegano che i kit di phishing vengono venduti come parte di un modello "as a service" e vengono attivamente utilizzati da più gruppi di hacker per attaccare fornitori di identità, tra cui Google, Microsoft e Okta, nonché piattaforme crittografiche.

• A differenza delle pagine di phishing statiche tipiche, queste piattaforme "avversario nell'intermediario" sono progettate per l'interazione in tempo reale tramite chiamate vocali, consentendo agli attaccanti di modificare il contenuto e visualizzare i dialoghi in tempo reale durante una chiamata.
• Le caratteristiche principali di questi kit di phishing sono la manipolazione in tempo reale dei bersagli tramite script che danno all'operatore diretto controllo sul processo di autenticazione della vittima.
• Mentre la vittima inserisce le credenziali nella pagina di phishing, queste vengono inoltrate all'attaccante, che quindi tenta di accedere al servizio durante la chiamata.
• Quando il servizio risponde con una sfida MFA, come una notifica push o un OTP, l'attaccante può selezionare un nuovo dialogo che aggiorna istantaneamente la pagina di phishing per corrispondere a ciò che la vittima vede quando tenta di accedere.

Okta afferma che questi attacchi sono altamente pianificati, con attori minacciosi che eseguono attività di ricognizione su un dipendente mirato, tra cui le applicazioni che utilizza e i numeri di telefono associati al supporto IT della loro azienda. Quindi creano pagine di phishing personalizzate e chiamano la vittima utilizzando numeri aziendali o di assistenza tecnica falsificati.

Quando la vittima inserisce il nome utente e la password sul sito di phishing, queste credenziali vengono inoltrate al server dell'attaccante, comunemente a canali Telegram gestiti dagli attori minacciosi. Ciò consente agli attaccanti di innescare immediatamente tentativi di autenticazione reali che visualizzano sfide MFA. Mentre gli attori minacciosi sono ancora al telefono con il loro bersaglio, possono indirizzare la persona ad inserire i propri codici TOTP MFA sul sito di phishing, che vengono quindi intercettati e utilizzati per accedere ai loro account.

Okta afferma che queste piattaforme possono aggirare l'MFA basata su push moderno, incluso il matching del numero, perché gli attaccanti dicono alle vittime quale numero selezionare. Allo stesso tempo, il C2 del kit di phishing fa sì che il sito Web visualizzi una richiesta corrispondente nel browser.

Okta raccomanda ai clienti di utilizzare MFA resistente al phishing come Okta FastPass, le chiavi di sicurezza FIDO2 o i passkeys.

Strategia: E DIFESA: Consigli pratici per l'utente/investitore

Okta ha avvisato dell'utilizzo di kit di phishing personalizzati progettati specificamente per gli attacchi di engineering sociale basati sulla voce (vishing). Secondo BleepingComputer, questi kit vengono utilizzati in attacchi attivi per rubare le credenziali Okta SSO per il furto di dati.

In un nuovo rapporto pubblicato oggi da Okta, i ricercatori spiegano che i kit di phishing vengono venduti come parte di un modello "as a service" e vengono attivamente utilizzati da più gruppi di hacker per attaccare i fornitori di identità, tra cui Google, Microsoft e Okta, e piattaforme crittografiche.

A differenza delle pagine di phishing statiche tipiche, queste piattaforme "avversario in mezzo" sono progettate per l'interazione in tempo reale tramite chiamate vocali, consentendo agli aggressori di modificare il contenuto e visualizzare i dialoghi in tempo reale durante una chiamata.

• Caratteristiche principali di questi kit di phishing: manipolazione in tempo reale degli obiettivi attraverso script che danno all'operatore diretto controllo sul processo di autenticazione della vittima.
• Quando la vittima inserisce le credenziali nella pagina di phishing, queste vengono inoltrate all'aggressore, che quindi tenta di accedere al servizio mentre è ancora in chiamata.
• Quando il servizio risponde con una sfida MFA, come una notifica push o un OTP, l'aggressore può selezionare un nuovo dialogo che aggiorna immediatamente la pagina di phishing per corrispondere a ciò che vede la vittima quando tenta di accedere. Questa sincronizzazione rende le richieste MFA fraudolente appaiono legittime.

Okta afferma che questi attacchi sono altamente pianificati, con attori minacciosi che effettuano attività di ricognizione su un dipendente di destinazione, tra cui le applicazioni che utilizza e i numeri di telefono associati al supporto IT della loro azienda. Quindi creano pagine di phishing personalizzate e chiamano la vittima usando numeri aziendali o di assistenza tecnica falsificati.

Quando la vittima inserisce nome utente e password sul sito di phishing, queste credenziali vengono inoltrate al server dell'aggressore, spesso a canali Telegram gestiti dagli attori minacciosi. Ciò consente agli aggressori di innescare immediatamente tentativi di autenticazione reali che visualizzano sfide MFA. Mentre gli attori minacciosi sono ancora al telefono con il loro bersaglio, possono indirizzare la persona ad inserire i propri codici TOTP MFA sul sito di phishing, che vengono quindi intercettati e utilizzati per accedere ai loro account.

Okta afferma che queste piattaforme possono aggirare l'MFA basata su push moderno, incluso il matching dei numeri, perché gli aggressori dicono alle vittime quale numero selezionare. Allo stesso tempo, il C2 del kit di phishing fa in modo che il sito Web visualizzi un prompt corrispondente nel browser.

Okta [raccomandato ai clienti](https://www.okta.com/blog/threat-intelligence/phishing-kits-adapt-to-the-script-of-callers/) di utilizzare MFA resistente al phishing, come Okta FastPass, le chiavi di sicurezza FIDO2 o i passkeys.

La proliferazione di kit di phishing personalizzati per attacchi vishing rappresenta una minaccia crescente nel panorama della sicurezza informatica. La capacità di questi kit di manipolare in tempo reale l'interazione con le vittime, simulando autenticazione MFA e sfruttando informazioni raccolte tramite attività di intelligence, rende gli attacchi altamente efficaci. La tendenza a colpire identity provider come Okta, Google e Microsoft, insieme a piattaforme di criptovalute, evidenzia la vasta portata di questo problema.

Per mitigare il rischio, è fondamentale adottare misure di sicurezza robuste, tra cui l'utilizzo di MFA resistente al phishing, come Okta FastPass, chiavi di sicurezza FIDO2 o passkeys. Inoltre, è essenziale sensibilizzare gli utenti sulle tecniche di social engineering e promuovere una cultura di sicurezza informatica consapevole.

• La crescente sofisticazione dei kit di phishing vishing richiede un'attenzione costante da parte degli utenti e delle aziende.
• L'adozione di MFA resistente al phishing è fondamentale per mitigare il rischio di compromissione degli account.
• Sensibilizzare gli utenti sulle tecniche di social engineering è essenziale per prevenire attacchi vishing efficaci.