Microsoft waarschuwt voor geavanceerde phishing-campagne
Microsoft Security Intelligence tweette een waarschuwing voor een phishing-campagne die momenteel aan de gang is en meer betrokken en uitgebreid is dan de meeste. De phishing-aanvallen zijn gericht op Office 365-gebruikers en -organisaties en gebruiken een aantal overtuigende lokmiddelen.
De campagne maakt gebruik van vervalste e-mailadressen van afzenders en het doeldomein, allemaal in een poging om er zo legitiem mogelijk uit te zien en door eventuele geautomatiseerde e-mailfilters te gaan.
Microsoft waarschuwt dat de adresreeks van de afzender verschillende versies van het woord "referral" zal bevatten en uit verschillende domeinen zal komen, waaronder com dot com, wat volgens de onderzoekers van Microsoft een veelvoorkomend verschijnsel is bij spoofing.
De campagne maakt ook gebruik van gecompromitteerde SharePoint-pagina's die slachtoffers vragen om hun inloggegevens in te voeren, die vervolgens worden gestolen. SharePoint verschijnt ook in de e-mailberichten en deelt zogenaamd een bestand dat iets te maken heeft met "bonussen", "prijslijsten" of "personeelsrapporten", volgens de tweet.
De link naar het bestand dat als lokaas wordt gebruikt, verwijst naar de kwaadaardige nep-aanmeldingspagina van SharePoint die de inloggegevens van het slachtoffer steelt.
Als het uit elkaar wordt gehaald en nauwkeurig wordt onderzocht, bevat de phishing-e-mail volgens het rapport twee problematische URL's, beide met "verkeerde HTTP-headers". Een van die URL's verwijst naar een Google App Engine AppSpot-domein - een opslagservice die wordt gebruikt voor web-apps. Zodra de gebruiker zich op die pagina aanmeldt, wordt hij doorverwezen naar een vervalste Office 365-pagina die zijn inloggegevens oppikt.
De operators die de phishing-campagne uitvoeren, hebben ook legitieme opslagservices en URL's gebruikt om hun kwaadaardige phishing-pagina's te hosten, aldus het rapport. Die omvatten zowel Google als Microsoft, evenals URL's van Digital Ocean.
Microsoft heeft opgemerkt dat de campagne meer betrokken is dan de meeste gewone phishing-inspanningen, waarbij overtuigend ogende logo's in de e-mails worden gebruikt en een extra stap wordt gezet om detectie te ontwijken.
