En sofistikeret phishing-kampagne mod Crédit Agricole brugte stjålne legitimationsoplysninger til e-mailtjenester, eksponerede cloudfiler og nøje planlagte telefonopkald til at svindle bankens kunder.
Forskerne afslørede kampagnen den 19. juni efter at have fundet en offentligt tilgængelig server, der blev brugt til at drive svindeloperationen. Phishing-infrastrukturen indeholdt oplysninger om 912 personer, som havde indsendt deres bankoplysninger, samt 83 betalinger foretaget til svindlerne.
Angriberne udgav sig for at være Crédit Agricole, en af Europas største finansielle institutioner. Ved at benytte legitim e-mailinfrastruktur til virksomheder gjorde de de falske beskeder sværere at identificere og blokere.
Forskerne underrettede Crédit Agricole og det franske CERT efter at have opdaget operationen. Banken og de relevante myndigheder blev kontaktet for en kommentar.
Angriberne brugte stjålne e-maillegitimationsoplysninger
Phishing-kampagnen mod Crédit Agricole begyndte med tyveri af legitimationsoplysninger knyttet til legitime e-mailtjenester.
Ifølge forskerne gennemsøgte de kriminelle eksponerede Amazon-cloudlagringsbuckets efter følsomme filer. De ledte efter miljøfiler, databasesikkerhedskopier, Python-konfigurationsfiler og Vim-swapfiler, som kunne indeholde legitimationsoplysninger til SendGrid eller Amazon Simple Email Service.
Virksomheder bruger ofte SendGrid og Amazon SES til at sende store mængder legitim e-mail, herunder fakturaer, nulstilling af adgangskoder, marketingkampagner og servicemeddelelser.
Det gjorde de stjålne nøgler særligt værdifulde. I stedet for at sende phishing-mails fra mistænkelige servere kunne angriberne benytte betroet virksomheds-infrastruktur. Derfor var der større sandsynlighed for, at beskederne nåede frem til indbakken og virkede legitime for modtagerne.
På tidspunktet for undersøgelsen rådede operationen over 149 stjålne SendGrid API-nøgler og tre kompromitterede AWS-konti. Tilsammen kunne kontiene sende omkring 7.000 e-mails om dagen.
Angriberne testede først de stjålne konti for at identificere deres afsendelsesgrænser og abonnementstyper. Det hjalp dem med at afgøre, hvilke tjenester der kunne bruges til de største phishing-kampagner.
De kriminelle opbyggede en omfattende målliste
Gruppen stolede ikke på en simpel købt mailingliste. I stedet fandt forskerne, at angriberne kortlagde internetinfrastrukturen i flere trin.
De begyndte med en startliste på 220.000 IP-adresser, som var kendt for at hoste hjemmesider. Derefter søgte de efter nærliggende adresser inden for de samme netværksområder og fandt yderligere 250.000 IP-adresser.
Herefter knyttede angriberne disse adresser til domæner via DNS-opslag og SSL Certificate Transparency-logs. De tilføjede også oplysninger fra verdens én million største domæner.
Denne proces gav de kriminelle en stor pulje af potentielle ofre og hjalp dem samtidig med at identificere organisationer, der ville være troværdige mål for identitetstyveri.
Svindlerne filtrerede senere cloududbydere, virksomheders statiske IP-adresser og generiske virtuelle private servere fra. Forskerne mener, at dette kan have hjulpet dem med at undgå sikkerhedsfælder og reducere risikoen for at blive opdaget.
Derefter scannede de målene for eksponerede konfigurationsfiler, mens de samtidig sendte phishing-mails til medarbejdere. Medarbejdernes kontaktoplysninger blev sandsynligvis hentet fra kommercielle platforme med virksomhedsdata.
Denne dobbelte strategi gav angriberne to mulige veje ind i et mål. En organisation kunne eksponere tekniske hemmeligheder gennem dårligt sikrede cloudressourcer, mens dens medarbejdere kunne blive ofre for phishing-kampagnen mod Crédit Agricole.
Stjålne bankoplysninger hjalp svindlerne med at forberede opkald
Den phishing-mail, som forskerne analyserede, var skrevet på fransk. Den opfordrede modtagerne til at forny registreringen af en betroet enhed, ellers risikerede de at miste adgangen til deres konto.
Selv om beskeden i sig selv kan virke mistænkelig, bliver den langt mere overbevisende, når den sendes fra en e-mailadresse, der er knyttet til en legitim virksomhedstjeneste.
De falske banksider indsamlede ofrenes loginoplysninger. Angriberne brugte dog ikke straks disse oplysninger til åbenlyst svigagtige transaktioner.
I stedet loggede phishing-panelet automatisk ind på ofrenes konti og indsamlede yderligere oplysninger. Det omfattede kontosaldo, navnet på den lokale filial og navnet på kundens bankrådgiver.
Forskerne mener, at disse oplysninger hjalp de kriminelle med at identificere værdifulde mål og få de efterfølgende telefonopkald til at virke mere troværdige.
I stedet for kun at stole på stjålne loginoplysninger brugte gruppen social engineering til at overtale ofrene til at betale for en falsk tjeneste. Kendskab til kundens filial, rådgiver og kontosaldo kunne få opkaldene til at fremstå langt mere overbevisende.
Phishing-operatører konkurrerede om ofrenes betalinger
Operationen omfattede også en rangliste for phishing-operatører. Forskerne fandt, at panelet understøttede flere brugere, og at syv konti var registreret under undersøgelsen.
Systemet opfordrede svindlerne til at konkurrere om, hvem der kunne tjene flest penge på ofrene. Skærmbilleder fra kontrolpanelet viste, at præmien til den mest succesfulde operatør var 3.000 euro.
Kampagnen viser den industrielle skala af moderne finansiel svindel. Angriberne kombinerede scanning efter cloudhemmeligheder, stjålet e-mailinfrastruktur, kortlægning af internettet, målretning af medarbejdere, tyveri af legitimationsoplysninger og telefonbaseret social engineering i én samlet operation.
Personer, der indtastede deres oplysninger på phishing-siderne, risikerer kontoovertagelse, svigagtige betalinger og efterfølgende svindelforsøg. Samtidig kan virksomheder, hvis cloud- eller e-maillegitimationsoplysninger blev misbrugt, blive ramt af omdømmeskade, driftsforstyrrelser og yderligere kompromittering, hvis flere hemmeligheder fortsat er eksponerede.
Sagen understreger også et vedvarende problem for organisationer: Eksponerede konfigurationsfiler og legitimationsoplysninger kan give kriminelle den infrastruktur, de har brug for, til at gennemføre overbevisende svindelkampagner.
0 svar til “Phishing-svindel mod Crédit Agricole brugte stjålne e-mailnøgler og falske opkald”