En sofistikert phishing-kampanje mot Crédit Agricole brukte stjålne legitimasjonsopplysninger for e-posttjenester, eksponerte skyfiler og nøye planlagte telefonsamtaler for å svindle bankens kunder.
Forskerne avdekket kampanjen 19. juni etter å ha funnet en offentlig tilgjengelig server som ble brukt til å drive svindeloperasjonen. Phishing-infrastrukturen inneholdt opplysninger om 912 personer som hadde sendt inn bankopplysningene sine, samt 83 betalinger utført til svindlerne.
Angriperne utga seg for å være Crédit Agricole, en av Europas største finansinstitusjoner. Ved å bruke legitim e-postinfrastruktur for virksomheter gjorde de de falske meldingene vanskeligere å oppdage og blokkere.
Forskerne varslet Crédit Agricole og det franske CERT etter å ha oppdaget operasjonen. Banken og relevante myndigheter ble kontaktet for en kommentar.
Angriperne brukte stjålne e-postlegitimasjoner
Phishing-kampanjen mot Crédit Agricole startet med tyveri av legitimasjonsopplysninger knyttet til legitime e-posttjenester.
Ifølge forskerne søkte de kriminelle gjennom eksponerte Amazon-lagringsbøtter etter sensitive filer. De lette etter miljøfiler, databasekopier, Python-konfigurasjonsfiler og Vim-swapfiler som kunne inneholde SendGrid- eller Amazon Simple Email Service-legitimasjon.
Virksomheter bruker ofte SendGrid og Amazon SES til å sende store mengder legitim e-post, blant annet fakturaer, tilbakestilling av passord, markedsføringskampanjer og tjenestevarsler.
Dette gjorde de stjålne nøklene spesielt verdifulle. I stedet for å sende phishing-e-poster fra mistenkelige servere kunne angriperne bruke pålitelig virksomhetsinfrastruktur. Dermed var det større sannsynlighet for at meldingene nådde innboksen og fremsto som legitime for mottakerne.
På tidspunktet for undersøkelsen hadde operasjonen tilgang til 149 stjålne SendGrid API-nøkler og tre kompromitterte AWS-kontoer. Til sammen kunne kontoene sende rundt 7 000 e-poster per dag.
Angriperne testet først de stjålne kontoene for å kartlegge sendegrenser og abonnementstyper. Dette hjalp dem med å avgjøre hvilke tjenester som kunne brukes til de største phishing-kampanjene.
De kriminelle bygde en omfattende målliste
Gruppen stolte ikke på en enkel kjøpt e-postliste. I stedet fant forskerne at angriperne kartla internettinfrastrukturen i flere trinn.
De startet med en liste over 220 000 IP-adresser som var kjent for å være vertskap for nettsteder. Deretter søkte de etter nærliggende adresser innenfor de samme nettverksområdene og fant ytterligere 250 000 IP-adresser.
Deretter koblet angriperne disse adressene til domener gjennom DNS-oppslag og SSL Certificate Transparency-logger. De la også til informasjon fra verdens én million største domener.
Denne prosessen ga de kriminelle en stor gruppe potensielle ofre, samtidig som den hjalp dem med å identifisere organisasjoner som ville være troverdige mål for identitetstyveri.
Svindlerne filtrerte senere bort skyleverandører, statiske IP-adresser for virksomheter og generiske virtuelle private servere. Forskerne mener dette kan ha hjulpet dem med å unngå sikkerhetsfeller og redusere risikoen for å bli oppdaget.
Deretter skannet de målene for eksponerte konfigurasjonsfiler samtidig som de sendte phishing-e-poster til ansatte. Kontaktopplysningene til de ansatte ble trolig hentet fra kommersielle plattformer for virksomhetsinformasjon.
Denne doble strategien ga angriperne to mulige inngangsveier til et mål. En organisasjon kunne eksponere tekniske hemmeligheter gjennom dårlig sikrede skyressurser, mens de ansatte kunne bli ofre for phishing-kampanjen mot Crédit Agricole.
Stjålne bankopplysninger hjalp svindlerne med å forberede telefonsamtaler
Phishing-e-posten forskerne analyserte, var skrevet på fransk. Den oppfordret mottakerne til å fornye registreringen av en pålitelig enhet, ellers risikerte de å miste tilgangen til kontoen.
Selv om en slik melding kan virke mistenkelig alene, blir den langt mer overbevisende når den sendes fra en e-postadresse knyttet til en legitim virksomhetstjeneste.
De falske banksidene samlet inn ofrenes innloggingsopplysninger. Angriperne brukte imidlertid ikke disse opplysningene umiddelbart til å utføre åpenbare svindeltransaksjoner.
I stedet logget phishing-panelet automatisk inn på ofrenes kontoer og samlet inn ytterligere informasjon. Dette omfattet kontosaldo, navnet på den lokale filialen og navnet på kundens bankrådgiver.
Forskerne mener informasjonen hjalp de kriminelle med å identifisere verdifulle mål og gjøre de senere telefonsamtalene mer troverdige.
I stedet for å basere seg utelukkende på stjålne innloggingsopplysninger brukte gruppen sosial manipulering for å overtale ofrene til å betale for en falsk tjeneste. Kunnskap om kundens filial, rådgiver og kontosaldo kunne gjøre oppringeren langt mer overbevisende.
Phishing-operatører konkurrerte om ofrenes betalinger
Operasjonen inkluderte også en resultatliste for phishing-operatører. Forskerne fant at panelet støttet flere brukere, og sju kontoer var registrert under etterforskningen.
Systemet oppmuntret svindlerne til å konkurrere om hvem som kunne tjene mest penger på ofrene. Skjermbilder av kontrollpanelet viste at premien til den mest vellykkede operatøren var 3 000 euro.
Kampanjen viser den industrielle skalaen til moderne økonomisk svindel. Angriperne kombinerte skanning etter skyhemmeligheter, stjålet e-postinfrastruktur, kartlegging av internett, målretting av ansatte, tyveri av legitimasjon og telefonbasert sosial manipulering i én og samme operasjon.
Personer som skrev inn opplysningene sine på phishing-sidene, kan bli utsatt for kontoovertakelse, falske betalinger og oppfølgingssvindel. Samtidig kan virksomheter hvis sky- eller e-postlegitimasjon ble misbrukt, bli rammet av omdømmetap, driftsforstyrrelser og ytterligere kompromittering dersom flere hemmeligheter fortsatt er eksponert.
Saken understreker også et vedvarende problem for organisasjoner: Eksponerte konfigurasjonsfiler og legitimasjonsopplysninger kan gi kriminelle infrastrukturen de trenger for å gjennomføre overbevisende svindelkampanjer.
0 responses to “Phishing-svindel mot Crédit Agricole brukte stjålne e-postnøkler og falske telefonsamtaler”