Các cuộc tấn công thu thập thông tin xác thực nhằm vào các ứng dụng cuộc họp video

Người dùng Zoom và các công cụ hội nghị truyền hình khác nên nhận thức được nguy cơ ngày càng tăng của các cuộc tấn công mạo danh. Ngay cả việc sử dụng các nền tảng video khác để giữ liên lạc với bạn bè trên cấp độ xã hội hiện nay cũng tiềm ẩn rủi ro bảo mật cao hơn.

Một báo cáo được phát hành trong tháng này bởi Eli Sanders, nhà khoa học dữ liệu trưởng tại INKY , đã cố gắng nâng cao nhận thức về lỗ hổng đang gia tăng này. INKY là một nền tảng bảo mật email dựa trên đám mây sử dụng trí tuệ nhân tạo để phát hiện các dấu hiệu gian lận, cùng với thư rác và phần mềm độc hại.

Các nhà nghiên cứu của INKY xác định các cuộc tấn công xuất phát từ Úc, Đức, Mỹ và các nơi khác. Tội phạm mạng đang lợi dụng sự gia tăng theo cấp số nhân của người dùng chuyển sang Zoom và Team để cộng tác trên các mạng công việc và bạn bè.

Phishing Frenzy

Zoom đã chứng kiến ​​sự gia tăng chưa từng có về người dùng mới trong năm nay, chủ yếu là do khóa đại dịch COVID-19. Người khổng lồ về hội nghị truyền hình dựa trên web này đã tăng từ 10 triệu người tham gia cuộc họp hàng ngày vào tháng 12 năm ngoái lên 300 triệu vào tháng 4 này.
Sự gia tăng vượt bậc về số lượng người dùng này đã gây ra một "cơn sốt lừa đảo thực sự", nơi tội phạm mạng trên toàn cầu đang cố gắng tận dụng các cơ hội để lừa đảo và gian lận. Chúng bao gồm sự bùng nổ của các lời mời họp giả mạo mạo danh Zoom và Team trong các cuộc tấn công lừa đảo nhằm đánh cắp thông tin chi tiết bí mật của người dùng.
"Một số người dùng có thể không biết về các biện pháp phòng ngừa hoặc [không quen] với cách hoạt động của Zoom. Mục tiêu của chiến dịch lừa đảo này là đánh cắp thông tin đăng nhập của Microsoft, nhưng bạn thực sự không cần đăng nhập vào tài khoản Microsoft để tham dự hội nghị Zoom, "Sanders nói với TechNewsWorld.
Một vấn đề liên quan được gọi là "Đánh bom phóng đại" cũng rất phổ biến. Những kẻ lừa đảo và tin tặc phá rối các hội nghị công cộng không được bảo vệ bằng mật khẩu bằng cách tải lên nội dung đồ họa xúc phạm, liên kết độc hại và phần mềm độc hại, ông nói thêm.
Các nền tảng khác cũng có rủi ro. Những kẻ xấu cũng gửi những email lừa đảo tương tự mạo danh Microsoft Teams, Skype, RingCentral và Cisco Webex.

Tại sao ồn ào?

Khi thông tin đăng nhập của ai đó bị đánh cắp, những kẻ trộm sẽ bán thông tin trên Dark Web cho nhiều kẻ xấu. Kẻ lừa đảo cũng có quyền truy cập ngay lập tức vào tài khoản Microsoft của nạn nhân, vì vậy chúng có thể xem tất cả email, truy cập các nội dung tải lên nhạy cảm trên OneDrive hoặc gửi email lừa đảo từ tài khoản bị xâm phạm đó, Sanders giải thích.
INKY tuyên bố công nghệ của họ đã ngăn chặn khoảng 5.000 cuộc tấn công lừa đảo này. Công ty nêu rõ nguồn gốc và cơ chế tấn công của 13 mẫu lừa đảo độc đáo, tất cả đều được thiết kế để thu hút người dùng Zoom từ bỏ các loại thông tin xác thực bí mật cho phép tội phạm mạng đánh cắp hàng tỷ đô la mỗi năm.
Tổng thiệt hại trung bình cho mỗi công ty là gần 75.000 đô la Mỹ cho mỗi sự cố trong năm 2019. Các loại tấn công lừa đảo này có thể hủy diệt các doanh nghiệp vừa và nhỏ. Không ngạc nhiên khi biểu thức "Thu phóng & Doom" là một phần của tiêu đề báo cáo INKY .
Tình trạng người mới của Zoom và sự vội vàng điều chỉnh để làm việc tại nhà đã góp phần khiến nền tảng video trở thành mục tiêu tấn công phổ biến. Sanders đồng ý rằng Zoom có ​​rất nhiều người dùng mới kể từ khi sinh viên và công nhân dựa vào nó để thay thế các cuộc họp trực tiếp.

Luôn luôn đề phòng

Biết rằng những trò gian lận lừa đảo đang gia tăng - thời gian lớn - là một chuyện. Có thể ngăn trở thành nạn nhân của họ là một cái gì đó khác.
Các chiêu trò lừa đảo phổ biến là thông báo giả mạo được gửi trong thư thoại, cảnh báo tài liệu mới và cập nhật tài khoản. Theo Sanders, mục tiêu của những kẻ tấn công thường là thu thập thông tin xác thực hoặc cài đặt phần mềm độc hại với tệp đính kèm email.
Một bước cơ bản mà các tổ chức có thể cung cấp cho nhân viên của họ là đào tạo nâng cao nhận thức của người dùng để giúp những người thường tương tác với các cuộc tấn công lừa đảo này học cách nghi ngờ email của họ.
Một chiến thuật là để người dùng kiểm tra thủ công các manh mối có thể khá rõ ràng. Ví dụ: tìm kiếm những người gửi không xác định, di chuột qua một liên kết (mà không cần nhấp vào) để hiển thị URL được nhúng đằng sau nó và nghi ngờ về các tệp đính kèm, Sanders đề xuất.
Nhiều công ty cũng đã đầu tư trước đó vào các cổng email bảo mật (SEG) để cố gắng phát hiện những email độc hại này. Nhưng những kẻ xấu luôn sáng tạo và đánh lừa người dùng cũng như những hệ thống kế thừa này, ông lưu ý.
Các nền tảng này có thể được truy cập dễ dàng bởi cả máy tính làm việc và thiết bị di động. Theo Hank Schless, quản lý cấp cao về các giải pháp bảo mật của Lookout, trên điện thoại và máy tính bảng, màn hình nhỏ hơn ẩn rất nhiều dấu hiệu đỏ mà nhân viên đã được đào tạo để phát hiện .
Ông nói với TechNewsWorld: "Các thiết bị cũng sẽ rút ngắn tên của tệp hoặc URL được gửi bởi kẻ đe dọa.
Nếu người dùng nhấp vào liên kết độc hại và truy cập trang lừa đảo, có thể gần như không thể phát hiện ra sự khác biệt giữa trang thật và giả. Schless giải thích: Nếu nhân viên không quen với giao diện của nền tảng, họ sẽ khó có thể phát hiện ra bất kỳ quà tặng nào của trang lừa đảo hoặc thậm chí đặt câu hỏi tại sao họ được yêu cầu đăng nhập ngay từ đầu.

Nguy hiểm Lurk

Ngay cả trước COVID-19 và công việc từ xa toàn cầu, những kẻ xấu vẫn thường xuyên sử dụng các liên kết Google G-Suite và Microsoft Office 365 giả mạo để cố gắng lừa đảo nhân viên của công ty. Số lượng người sử dụng Zoom và Teams đã tăng lên đáng kể với tất cả mọi người buộc phải làm việc tại nhà.
Các tác nhân độc hại biết người dùng mới không quen với các ứng dụng. Vì vậy, tội phạm mạng khai thác bằng cả URL độc hại và tệp đính kèm tin nhắn giả để đưa mục tiêu đến các trang lừa đảo, Schless lưu ý.
Theo dữ liệu của Lookout, tỷ lệ lừa đảo trên thiết bị di động cao hơn 200% so với những người không sử dụng Office 365 và G-Suite. Nhân viên có nhiều khả năng tương tác với một liên kết hoặc tài liệu hơn nếu có vẻ như đó là một phần của hệ sinh thái ứng dụng bạn đã sử dụng.
“Khi nhân viên của bạn ở ngoài văn phòng và đang di chuyển, rất có thể họ sẽ xem xét tài liệu trên thiết bị di động,” ông nói thêm.
Những vấn đề như thế này có thể sẽ là một vấn đề trên mọi loại nền tảng, mãi mãi. Theo Bryan Becker, giám đốc sản phẩm tại WhiteHat Security, đây chỉ là phiên bản năm 2020 của lừa đảo trực tuyến hoặc lừa đảo trực tuyến (gửi email giả mạo có mục tiêu) .
Ông nói với TechNewsWorld: “Ngay cả các nền tảng trò chơi điện tử cũng gặp phải vấn đề này với việc bọn tội phạm sử dụng các kỹ thuật này để ăn cắp tiền ảo.
Becker nhận xét rằng tất cả những gì người ta phải làm là xem xét một trong những chiến dịch lừa đảo lớn gần đây nhất được thực hiện chống lại người dùng Twitter.
Ông nói: “Những diễn biến gần đây tại Twitter là một ví dụ hoàn hảo về những nguy cơ tiềm ẩn ẩn chứa bên dưới các cuộc tấn công.
Anh ta đang đề cập đến thông báo ngày 30 tháng 7 Các quan chức Twitter đưa ra về cuộc tấn công lừa đảo trực tuyến chưa từng có ngày 15 tháng 7 nhắm vào 130 người bao gồm CEO, người nổi tiếng và chính trị gia. Những kẻ tấn công đã kiểm soát 45 tài khoản trong số đó và sử dụng chúng để gửi các tweet quảng cáo một trò lừa đảo bitcoin cơ bản.

Xe buýt được tiết lộ

Báo cáo của INKY đã chỉ ra nhiều kỹ thuật mà kẻ tấn công sử dụng trong các chiến dịch Phóng to và Nhóm. Sanders nêu bật một số kỹ thuật đó:

• Các liên kết độc hại đến các trang đăng nhập O365 hoặc Outlook giả mạo, nơi một bản sao / dán đơn giản của mã nguồn / HTML thực từ Microsoft khiến nó trông rất thuyết phục đối với người dùng;
• Các tệp đính kèm HTML tạo trang đăng nhập giả mạo làm localhost trên máy tính của người dùng. Bao gồm một tệp đính kèm ngăn các SEG tìm thấy liên kết trên một danh sách ngành / bộ kiểm tra danh tiếng. Ngoài ra, các tệp đính kèm được mã hóa để con người hoặc SEG điển hình không thể đọc được;
• Kẻ tấn công cá nhân hóa email lừa đảo với thông tin từ địa chỉ email của người dùng. Những kẻ tấn công thêm tên của người dùng hoặc công ty như một phần của Từ Tên hiển thị, nội dung email, liên kết độc hại (được tạo động), thu phóng tên cuộc họp;
• Biểu trưng giả thực chất chỉ là văn bản và các thủ thuật CSS để làm cho nó xuất hiện dưới dạng biểu trưng nhằm lấy được bởi SEG.

Sanders đã trình bày chi tiết các thủ thuật khác mà những kẻ tấn công đã sử dụng để thực hiện các vụ tấn công lừa đảo. Ví dụ: họ đã sử dụng các tài khoản bị xâm nhập để vượt qua bất kỳ cuộc kiểm tra SPF hoặc DKIM nào hoặc tạo các miền mới với tên nghe có vẻ thực tế để lừa người dùng, chẳng hạn như Zoom Communications.com hoặc Zoom VideoConfrence.com.
Bạn có nhận thấy lỗi chính tả không? Lỗi chính tả và ngữ pháp là những manh mối điển hình cho một cuộc tấn công. Nhưng nhiều người dùng chỉ đơn giản là không nhận thấy những điều như vậy.
Sanders giải thích: Trong khi một số tài khoản bị tấn công nổi tiếng và có thể được tìm thấy trên danh sách chặn của ngành, các tài khoản mới đang cố gắng thực hiện một cuộc tấn công zero-day để vượt qua SEG. Cuối cùng, chúng bị phát hiện và bị chặn. Nhưng trong thời gian chờ đợi, họ có thể vượt qua SEGs.