Falske AI-websteder, der udgiver sig for at være ChatGPT, Gemini, Claude og Perplexity, målretter personer inden for annoncering med falske anmodninger om at forbinde konti. Kampagnen bruger overbevisende loginvinduer til at indsamle adgangskoder og koder til multifaktorgodkendelse.
Forskere hos browsersikkerhedsvirksomheden Island identificerede sider rettet mod bureaumedarbejdere, medieindkøbere og administratorer af annoncekonti. Disse brugere administrerer ofte adgang til flere kunder, hvilket potentielt kan udvide konsekvenserne af, at en enkelt konto kompromitteres.
Operationen udnytter også interessen for Metas nyligt lancerede AI-assistent Muse og præsenterer falske annonceringsværktøjer under velkendt AI-branding.
Annonceringsværktøjer bruges som lokkemiddel
De falske AI-websteder lover tjenester såsom at finde købere, generere annonceringsbriefs og gennemgå kampagneudgifter. Besøgende skal dog angiveligt forbinde en eksisterende konto, før de kan få adgang til disse funktioner.
Når der klikkes på forbindelsesknappen, åbnes det, der ser ud til at være et Google-loginvindue. Den imiterede adresselinje viser accounts.google.com, hvilket får anmodningen til at se legitim ud.
I virkeligheden er logingrænsefladen en del af den angriberkontrollerede webside. Når brugeren indtaster loginoplysninger, sendes de til phishing-operationen.
Annoncekonti giver flere muligheder for misbrug. Angribere kan bruge tilgængelige saldi til svigagtige kampagner eller sælge adgang til andre kriminelle. Samtidig kan konti, der er forbundet med flere kunder, give adgang til yderligere annonceringsaktiviteter.
Falske browservinduer efterligner velkendte loginskærme
Kampagnen bruger en teknik kendt som browser-in-the-browser-phishing. Den genskaber et browser-loginvindue inde på en webside, inklusive visuelle detaljer, som brugere forbinder med en pålidelig loginproces.
Ifølge Island tilpasser phishing-værktøjet sit udseende til Windows, macOS, iOS og Android. Det understøtter også forskellige browserstile og mørk tilstand.
Disse tilpasninger hjælper det falske vindue med at matche offerets enhed. Adresselinjen inde i vinduet er dog blot en del af den imiterede grænseflade.
Platformen understøtter loginprocesser, der efterligner Google, Meta, TikTok og Okta, hvilket giver operatørerne flere måder at nærme sig deres mål på.
Menneskelige operatører styrer anmodninger om adgangskoder og MFA
Når en besøgende går ind i phishing-processen, kan en menneskelig operatør beslutte, hvilke anmodninger der skal vises som de næste.
Operatøren kan anmode om en adgangskode op til tre gange eller bede om en SMS- eller autentificeringskode. Andre muligheder omfatter visning af Google-godkendelsesanmodninger, Okta-pushanmodninger eller QR-koder.
Angrebet stopper derfor ikke ved at indsamle et brugernavn og en adgangskode. Det forsøger også at få fat i de yderligere koder eller godkendelser, der er nødvendige for at gennemføre et login.
Operatørerne kan afvise indsendte koder, lade ofrene blive på venteskærme eller afslutte interaktionen. Denne kontrol gør det muligt for dem at tilpasse phishing-processen, mens den udfolder sig.
Delt infrastruktur afslører en bredere operation
Island knyttede annonceringssiderne til en bredere kampagne, der involverer falske rekrutteringsmuligheder og tilbud om refusion.
Forskerne identificerede fælles softwarekomponenter, API-endepunkter og hostingmønstre på tværs af siderne. Derudover eksponerede fejlkonfigurerede offentlige kodearkiver ældre kildekode, hvilket hjalp dem med at spore operationen tilbage til marts.
En kontrolkanal på Telegram havde modtaget hundredvis af indsendelser fra ofre. Dette tal fastslår dog ikke, hvor mange konti angriberne faktisk formåede at kompromittere.
Forskerne identificerede snesevis af webadresser forbundet med kampagnerne inden for annoncering, rekruttering og refusion.
Det imiterede vindue forbliver inde på websiden
Et nyttigt advarselstegn handler om, hvordan loginvinduet opfører sig. Et ægte separat browser-popupvindue kan flyttes ud over grænserne for det oprindelige browservindue. En imitation, der er indlejret på en webside, kan ikke.
Den tilsyneladende loginadresse kræver også forsigtighed: Et betroet domæne, der vises inde på en side, bekræfter ikke, hvor de indsendte oplysninger sendes hen.
Island fandt, at denne platform genskaber udbydernes loginskærme lokalt og indsamler loginoplysninger og autentificeringsoplysninger gennem sine egne API’er. Som følge heraf kan den synlige trafik ligne kommunikation mellem en AI-tjeneste og en separat applikationsbackend.
0 svar til “Falske AI-websteder målretter annoncekonti med tyveri af adgangskoder og MFA”