Nätfiskebedrägeri mot Crédit Agricole använde stulna e-postnycklar och falska telefonsamtal

En sofistikerad nätfiskekampanj riktad mot Crédit Agricole använde stulna autentiseringsuppgifter för e-posttjänster, exponerade molnfiler och noggrant planerade telefonsamtal för att lura bankens kunder.

Forskarna upptäckte kampanjen den 19 juni efter att ha hittat en offentligt åtkomlig server som användes för att driva bedrägeriet. Nätfiskeinfrastrukturen innehöll uppgifter om 912 personer som hade lämnat sina bankinloggningsuppgifter samt 83 betalningar som genomförts till bedragarna.

Angriparna utgav sig för att vara Crédit Agricole, en av Europas största finansinstitutioner. Genom att använda legitim infrastruktur för företagsmejl gjorde de de bedrägliga meddelandena svårare att identifiera och blockera.

Forskarna underrättade Crédit Agricole och det franska CERT efter att ha upptäckt operationen. Banken och berörda myndigheter kontaktades för en kommentar.

Angriparna använde stulna e-postuppgifter

Nätfiskekampanjen mot Crédit Agricole började med stöld av autentiseringsuppgifter kopplade till legitima tjänster för e-postleverans.

Enligt forskarna sökte de kriminella igenom exponerade lagringshinkar i Amazon Cloud efter känsliga filer. De letade efter miljöfiler, säkerhetskopior av databaser, Python-konfigurationsfiler och Vim-swapfiler som kunde innehålla autentiseringsuppgifter för SendGrid eller Amazon Simple Email Service.

Företag använder ofta SendGrid och Amazon SES för att skicka stora mängder legitim e-post, bland annat fakturor, lösenordsåterställningar, marknadsföringskampanjer och tjänsteaviseringar.

Det gjorde de stulna nycklarna särskilt värdefulla. I stället för att skicka nätfiskemejl från misstänkta servrar kunde angriparna använda betrodd företagsinfrastruktur. Därmed var det större sannolikhet att meddelandena nådde inkorgen och uppfattades som legitima av mottagarna.

Vid tidpunkten för undersökningen hade operationen tillgång till 149 stulna SendGrid API-nycklar och tre komprometterade AWS-konton. Tillsammans kunde kontona skicka omkring 7 000 e-postmeddelanden per dag.

Angriparna testade först de stulna kontona för att identifiera deras sändningsgränser och abonnemangsnivåer. Det hjälpte dem att avgöra vilka tjänster som kunde användas för de största nätfiskekampanjerna.

De kriminella byggde upp en omfattande mållista

Gruppen förlitade sig inte på en enkel inköpt e-postlista. I stället fann forskarna att angriparna kartlade internetinfrastruktur i flera steg.

De började med en startlista på 220 000 IP-adresser som var kända för att vara värdar för webbplatser. Därefter sökte de igenom närliggande adresser inom samma nätverksområden och identifierade ytterligare 250 000 IP-adresser.

Sedan kopplade angriparna dessa adresser till domäner genom DNS-uppslagningar och SSL Certificate Transparency-loggar. De kompletterade även informationen med data från världens en miljon största domäner.

Denna process gav de kriminella en bred grupp potentiella offer och hjälpte dem samtidigt att identifiera organisationer som kunde fungera som trovärdiga mål för identitetskapning.

Bedragarna filtrerade senare bort molnleverantörer, statiska företags-IP-adresser och generiska virtuella privata servrar. Forskarna tror att detta kan ha hjälpt dem att undvika säkerhetsfällor och minska risken för upptäckt.

Därefter skannade de målen efter exponerade konfigurationsfiler samtidigt som de skickade nätfiskemejl till anställda. Kontaktuppgifterna till de anställda hade sannolikt hämtats från kommersiella plattformar för företagsinformation.

Denna dubbla strategi gav angriparna två möjliga vägar in till ett mål. En organisation kunde exponera tekniska hemligheter genom dåligt skyddade molnresurser, medan dess anställda kunde bli offer för nätfiskekampanjen mot Crédit Agricole.

Stulna bankuppgifter hjälpte bedragarna att förbereda telefonsamtal

Nätfiskemejlet som forskarna analyserade var skrivet på franska. Det uppmanade mottagarna att förnya registreringen av en betrodd enhet, annars riskerade de att förlora åtkomsten till sitt konto.

Även om ett sådant meddelande kan verka misstänkt i sig blir det betydligt mer övertygande när det skickas från en e-postadress som är kopplad till en legitim företagstjänst.

De falska banksidorna samlade in offrens inloggningsuppgifter. Angriparna använde dock inte uppgifterna omedelbart för uppenbart bedrägliga transaktioner.

I stället loggade nätfiskepanelen automatiskt in på offrens konton och samlade in ytterligare information. Det omfattade kontosaldo, namnet på den lokala bankfilialen och namnet på kundens bankrådgivare.

Forskarna tror att informationen hjälpte bedragarna att identifiera värdefulla mål och göra de efterföljande telefonsamtalen mer trovärdiga.

I stället för att enbart förlita sig på stulna inloggningsuppgifter använde gruppen social manipulation för att övertala offren att betala för en falsk tjänst. Kännedom om kundens bankkontor, rådgivare och kontosaldo kunde göra uppringaren betydligt mer trovärdig.

Nätfiskeoperatörer tävlade om offrens betalningar

Operationen innehöll också en topplista för nätfiskeoperatörer. Forskarna fann att panelen stödde flera användare, och sju konton hade registrerats under utredningen.

Systemet uppmuntrade bedragarna att tävla om vem som kunde tjäna mest pengar på sina offer. Skärmbilder från kontrollpanelen visade att priset för den mest framgångsrika operatören var 3 000 euro.

Kampanjen visar den industriella omfattningen av dagens ekonomiska bedrägerier. Angriparna kombinerade skanning efter molnhemligheter, stulen e-postinfrastruktur, kartläggning av internet, riktade attacker mot anställda, stöld av autentiseringsuppgifter och telefonbaserad social manipulation i en och samma operation.

Personer som angav sina uppgifter på nätfiskesidorna riskerar kontokapning, bedrägliga betalningar och uppföljande bedrägerier. Samtidigt kan företag vars moln- eller e-postuppgifter missbrukades drabbas av skadat anseende, störningar i verksamheten och ytterligare kompromettering om fler hemligheter fortfarande är exponerade.

Fallet belyser också ett återkommande problem för organisationer: exponerade konfigurationsfiler och autentiseringsuppgifter kan ge kriminella den infrastruktur de behöver för att genomföra trovärdiga bedrägerikampanjer.