ღონისძიებები 0
Ge
ღონისძიებები 0
ძიების შედეგები:
UNC1151 ფიშინგის კამპანია: Censys-ის ინფრასტრუქტურის ანალიზი- სურათი 1

UNC1151 ფიშინგის კამპანია: Censys-ის ინფრასტრუქტურის ანალიზი

ფიშინგური წერილი ბელარუსის პოლიტიკოსს, იური გუბარევიჩს, რომელიც განაცხადა საეჭვო აქტივობაზე Gmail-ში, აღმოჩნდა მხოლოდ მასშტაბური კიბეროპერაციის ზედაპირი. Censys-ის კომპანიის მკვლევარმა, მარტინ გრუტენმა, გაიგო, რომ ამ თავდასხმას UNC1151 დაჯგუფების (ასევე ცნობილია როგორც Ghostwriter ან FrostyNeighbor) ინფრასტრუქტურა ემსახურებოდა. ციფრული სერტიფიკატების გამოყენებით ლოგიკური გადაცემის მეთოდის საშუალებით ანალიტიკოსებმა შეძლეს კიბეროპერატორების სერვერების დეანონიმიზაცია, რომლებიც უკრაინის და ბელარუსის მომხმარებელთა სერთიფიკატებს იპარავდნენ.

UNC1151 ფიშინგის კამპანია: Censys-ის ინფრასტრუქტურის ანალიზი - სურათი 1
თვალთმაქცობის მექანიზმი

ავტენტიფიკაციის თავის არიდება და ip-მისამართების დაფარვა

კამპანიის ფარგლებში, კიბერზლოვანიები მსხვერპლებს შეკომპრომენტირებულ ვებსაიტებზე მიმართავდნენ, შემდეგ კი – Google-ის ყალბ შესვლის გვერდზე. თავდასხმის ტექნიკური ღირსება იყო WebSocket-ის პროტოკოლის გამოყენება შესული მონაცემების რეალურ დროში ჩაწერისთვის. ეს ოპერატორებს საშუალებას აძლევდა ავტომატურად გაერტყათ SMS-ის ან ერთჯერადი პაროლის (OTP) გამოყენებით ავთენტიფიკაცია. მათვის, რომ საკუთარი აქტივობა დაემალათ განაცხადით ინევრებები გამოყენებაში Bunny CDN-ისა და Cloudflare-ის მისი მართვის IP მისამართების დამალვის მიზნით.

CENSYS-ის კიბერწვრთვნება

დეანონიმიზაცია ციფრული სერთიფიკატების მეშვეობით

CDN-ის გამოყენებით დაფარულობის მცდელობის მიუხედავად, კიბეროპერატორებმა ინფრასტრუქტურულ დონეზე კრიტიკული შეცდომა დაუშვეს. სპეციალისტებმა Censys-ისგან აღმოაჩინეს, რომ ფიშინგის დარჩენარის ციფრული სერტიფიკატი გარკვეული დროს ქსელის პირდაპირ IP მისამართზე 45.194.44.44 იყო. ეს მისამართი ფიზიკურად პოლონეთში მდებარეობს და ეკუთვნის პროვაიდერს Datagear. ამგვარი აღმოჩენა როგორც საცნობარის მოხსნა იმოქმედა: რეალური IP მისამართის დეანონიმიზაციის შემდეგ, მკვლევარებმა იპოვეს სხვა ციფრული სერტიფიკატები, რომლებიც ამ ოპერაციაში გამოიყენებოდა. განსაკუთრებით, ნაპოვნი ნოუდი სერტიფიკატებს აწარმოებდა დამატებითი ფიშინგური რესურსებისთვის, რაც ჯგუფის სისტემური ქმედებების დამგებოდა.

ტექნიკური ინდიკატორები

სერვერების უნიკალური შეცდომები და დაფარული ნოუდების გამოვლენა

განხორციელებული IP მისამართზე ჩატარებულმა დეტალურმა კვლევამ 3001 და 3002 პორტებზე არსებული სპეციფიური კონფიგურაციები გამოავლინა. HTTP-ის მოთხოვნა 3002 პორტზე აბრუნებდა 404 შეცდომას უნიკალური ტექსტური შეტყობით, რომელიც მხოლოდ WebSocket-ისთვის ფუნქციონირებას ანიშნებდა. ეს სტრუქტურული ინდიკატორი სააზოგადო ქსელში განსაკუთრებით იშვიათი იყო. Censys-ის მონაცემთა ბაზებში სხეულის ამ პასუხის ჰეშის ძებნა გამოავლინა კიდევ სამი IP მისამართი, რომლებიც იმავე კამპანიაში მონაწილეობდა. თითოეული სერვერი ციფრული სერტიფიკატების კომპანიებისთან დაკავშირებული ნიმუშური სახელების გამოყენებით კონცენტრიულ ქსელს ქმნიდა მონაცემთა შესაგროვებელი გზით.

ოპერაციის ფარიტები

უკრაინული ეროვნული ვებპორტალების იმიტაცია

აღმოჩენილი ინფრასტრუქტურის კვლევამ რეგიონების წინააღმდეგ ინფორმაციული თარგის დამგების ხასიათი დაადასტურა. პირველადი შეტევის გარდა ელფოსტის სერვისებზე, ჯგუფი მასიურად ქმნიდა სერტიფიკატებს, რათა შეყენებულიყო უკრაინული პოპულარული ვებპორტალების ყალბი ასლები. ერთ-ერთ სერვერზე ანალიტიკოსებმა მიიღეს ციფრული სერტიფიკატები, რომლებიც i.ua და bigmir)net-ის საფოსტო სერვისებს იმყოფებდა. მომხმარებლის საკონიის გამოკითხვის საშუალებით ასევე დაადგინეს აქტიური ფიშინგური გვერდი, რომელიც META.UA-ის პორტალს იმეორებდა. მოცემული ცნობების ერთობლიობა აჩვენებს, რომ UNC1151 ჯგუფი სერიალურად ქმნის ყალბ ინსტრუმენტებს ლეგიტიმური ევროპული სერვისების კომპრომეტაციისთვის.

ფიშინგური ინციდენტების ანალიზი ადასტურებს, რომ თანამედროვე კიბეროპერატორები იყენებენ რთულ არქიტექტურებს თავიანთი ფორმატების გასაზრდელად და მეტად ავთენტიფიკაციის დასტირილისთვის. რეაქტიული ბლოკირებისგან პროაქტიული გაცნობისკენ გადაყვანა ქმნის საფუძვლებს გაორკลดสปีด სიმარულ ინფრასტრუქტურული მასივების სწრაფი გამონიკებისათვის. iIT Distribution კომპანია რეაგირებისთვის ღირებულ-added დისტრიბუტორად უსაფრთხოების soluciones-ზე წარმოადგენს ექსპერტ حمایتას, აქედან, მათ შორის დაზღვევის დაზღვევის უკვე არსებული და გაფხიზლების საფართ საუბోჯიტები. iITD-ის გუნდი მზარული და დაცულად კიბერაზლთების ხდება. iITD-ის გუნდი ისეთ სივრცეებზე უზრუნველყოფს, როგორც ექსპრტი საჭიროებს გახმაურდეთ ამიტომ, მოკლევადიანი უსაფრთხოების რდანიჭებული ახლებრები სექსი. დახმარების ცხოვრება. ნებისმიერი გამოყენებული შგება გარანტორ გვაუფლებნი პროექტის კომ퓨터 დაცვის. .

ახალი ამბები

უახლესი ახალი ამბები თქვენს თემაზე

ყველა სიახლე
ყველა სიახლე