Oplichters gebruiken Adobe Cloud-accounts om referenties te stelen

In een nieuwe maar niet bijzonder originele campagne om mensen op te lichten en informatie te stelen, hebben bedreigingsactoren een campagne gevoerd die misbruik maakt van de services die worden aangeboden door Adobe Cloud.

De campagne maakt gebruik van Adobe Cloud-accounts die zijn gemaakt door de dreigingsactoren. Die accounts worden gebruikt om potentiële slachtoffers kwaadaardige bestanden te sturen.

Beveiligingsonderzoekers die samenwerken met Avanan, een beveiligingsbedrijf dat in de tweede helft van 2021 is overgenomen door infosec-gigant Check Point, ontdekten de kwaadaardige campagne in december.

Schadelijke PDF's gebruikt

Volgens het onderzoeksteam richt de dreigingsactor achter de campagne zich voornamelijk op Office 365-gebruikers, omdat een gecompromitteerd Office 365-account een erg handig hulpmiddel kan zijn om aanhoudende en onopgemerkte toegang te krijgen tot een bedrijfsbreed netwerk. Hoewel Office-gebruikers het belangrijkste doelwit zijn, werden er ook enkele pogingen opgemerkt om mensen uit hun Gmail-accounts op te lichten.

De manier waarop de aanval verloopt is relatief eenvoudig. De dreigingsactoren maken gratis accounts aan op Adobe Cloud. Die accounts worden vervolgens gebruikt om een afbeelding of pdf-bestand te verzenden, met een link die in het bestand is ingesloten. De kwaadaardige bestanden worden via e-mail naar de eindslachtoffers gestuurd.

Natuurlijk wordt de daadwerkelijke kwaadaardige lading in de gekoppelde bestanden niet gehost in de cloud van Adobe, maar op externe servers die worden beheerd door de bedreigingsactoren, wat detectie moeilijker maakt.

Klassiek phishing-aas

De gebruiker moet op een aantal bevestigingsknoppen klikken om de beoogde lading aan de andere kant van de link te bereiken, maar de knoppen zijn onschadelijk en hebben een naam zoals "Toegangsdocument" en worden weergegeven terwijl het slachtoffer de bijgevoegde probeert te bekijken kwaadaardige pdf.

Hoewel de bedreigingsactoren ervoor hebben gezorgd dat hun e-mails worden vervalst om eruit te zien als legitieme adressen die door Adobe zijn toegewezen, bevat de tekst van de e-mails met de schadelijke bijlagen meerdere grammatica- en spelfouten, wat de geloofwaardigheid van de inspanning aanzienlijk ondermijnt.

Het PDF-bestand zelf heet "Closing.PDF" - nog een goedkope social engineering-truc die bedoeld is om een gevoel van angst en urgentie bij het slachtoffer te creëren en hen ertoe te brengen hun best te doen om de inhoud te zien.