Microsoft cảnh báo về bộ công cụ lừa đảo TodayZoo sử dụng đánh cắp thông tin đăng nhập trên diện rộng

Thứ Năm, Microsoft đã tiết lộ một loạt các chiến dịch lừa đảo thông tin xác thực đăng nhập, lợi dụng một bộ công cụ lừa đảo tùy chỉnh kết hợp từ ít nhất 5 bộ khác nhau được lưu hành rộng rãi với mục tiêu lấy thông tin đang nhập của người dùng. Bộ công cụ lừa đảo này mang tên TodayZoo.

Đội ngũ tình báo đe dọa Microsoft 365 Defender của gã khổng lồ công nghệ, đã phát hiện ra những phiên bản đầu tiên của công cụ này vào tháng 12 năm 2020, được gọi là cơ sở hạ tầng tấn công sao chép và dán "TodayZoo".

Các nhà nghiên cứu cho biết: “Sự phong phú của các bộ công cụ lừa đảo và các công cụ khác có sẵn để bán hoặc cho thuê khiến kẻ tấn công sói đơn độc dễ dàng chọn và chọn các tính năng tốt nhất từ các bộ công cụ này”. "Họ đặt những chức năng này lại với nhau trong một bộ công cụ tùy chỉnh và cố gắng gặt hái tất cả những lợi ích cho chính họ. Đó là trường hợp của TodayZoo."

Bộ dụng cụ lừa đảo, thường được bán dưới dạng thanh toán một lần trong các diễn đàn ngầm, là các tệp lưu trữ được đóng gói chứa hình ảnh, tập lệnh và các trang HTML cho phép kẻ đe dọa thiết lập email và trang lừa đảo, sử dụng chúng làm mồi nhử để thu thập và truyền thông tin xác thực cho kẻ tấn công -máy chủ được kiểm soát.

Chiến dịch lừa đảo TodayZoo không khác gì ở chỗ các email người gửi mạo danh Microsoft, tự xưng là đặt lại mật khẩu hoặc thông báo qua fax và máy quét, để chuyển hướng nạn nhân đến các trang thu thập thông tin xác thực. Điểm nổi bật của nó là chính bộ công cụ lừa đảo, được ghép lại với nhau từ các đoạn mã lấy từ các bộ công cụ khác - "một số có sẵn để bán thông qua những người bán lừa đảo có thể truy cập công khai hoặc được sử dụng lại và đóng gói lại bởi những người bán lại bộ công cụ khác."

Cụ thể, các phần lớn của khuôn khổ dường như đã được dỡ bỏ một cách hào phóng từ một bộ công cụ khác, được gọi là DanceVida, trong khi các thành phần liên quan đến bắt chước và làm xáo trộn trùng lặp đáng kể với mã từ ít nhất năm bộ công cụ lừa đảo khác như Botssoft, FLCFood, Office-RD117, WikiRed và Zenfo. Mặc dù dựa vào các mô-đun tái chế, TodayZoo đi ngược lại với DanceVida trong thành phần thu thập thông tin xác thực bằng cách thay thế chức năng ban đầu bằng logic lọc riêng của nó.

Nếu có bất cứ điều gì, "'đặc điểm quái vật của Frankenstein của TodayZoo" minh họa các cách đa dạng mà các kẻ đe dọa sử dụng các bộ dụng cụ lừa đảo cho các mục đích bất chính, cho dù đó là bằng cách thuê chúng từ các nhà cung cấp dịch vụ lừa đảo (PhaaS) hoặc bằng cách xây dựng các biến thể của riêng chúng từ nền tảng cho phù hợp với mục tiêu của họ.

“Nghiên cứu này chứng minh thêm rằng hầu hết các bộ công cụ lừa đảo được quan sát hoặc có sẵn ngày nay đều dựa trên một nhóm nhỏ hơn trong các họ bộ công cụ lớn hơn,” phân tích của Microsoft cho biết. "Mặc dù xu hướng này đã được quan sát trước đây, nhưng nó vẫn tiếp tục là chuẩn mực, dựa trên cách mà các bộ công cụ lừa đảo mà chúng tôi đã thấy chia sẻ một lượng lớn mã giữa chúng."

Hương – Theo TheHackerNews