KnowBe4 luidt noodklok over nieuwe generatie phishingaanvallen

Waar het klikken op een link bij de meeste phishing-e-mails tot dezelfde aanval leidt, bepaalt in deze campagne het besturingssysteem van het slachtoffer welke aanval wordt ingezet.

De campagne begint met een overtuigende e-mail die zich voordoet als een iCloud-beveiligingsmelding. Zodra een gebruiker op de link klikt, detecteren de aanvallers binnen milliseconden welk besturingssysteem op het apparaat van het slachtoffer wordt gebruikt. Op basis daarvan wordt het slachtoffer automatisch doorgestuurd naar een specifiek aanvalsscenario. Bij Windows-gebruikers wordt stiekem een remote management-tool geïnstalleerd waarmee aanvallers volledige toegang tot het systeem kunnen krijgen, terwijl Apple-gebruikers worden doorgestuurd naar een nagemaakte iCloud-inlogpagina om inloggegevens te stelen. Andere gebruikers, van bijvoorbeeld Android of Linux, worden naar een neppe Microsoft-aanmeldingspagina geleid, terwijl een aanvaller kan meekijken en de inloggegevens in realtime in Telegram ziet binnenkomen.

Ruim 250 slachtoffers in 24 uur tijd

Uit het onderzoek van KnowBe4 Threat Labs blijkt dat de campagne binnen een periode van 48 uur al meer dan 250 bevestigde slachtoffers maakte. Van de 157 slachtoffers waarvan de locatie kon worden vastgesteld, bevonden zich 150 in de Verenigde Staten.

De aanval laat zien dat cybercriminelen hun campagnes steeds professioneler opzetten en beveiligingsoplossingen doelgericht proberen te omzeilen. De phishingmail maakt onder meer gebruik van een keten van redirects via een vertrouwd domein van een financiële instelling en uitgebreide anti-botmaatregelen, waardoor veel traditionele e-mailfilters en beveiligingsscanners de uiteindelijke aanval niet detecteren.

'Laat zien hoe snel phishing zich ontwikkelt'

James Dyer, Head of Threat Intelligence bij KnowBe4: "Deze campagne laat zien hoe snel phishing zich ontwikkelt. Eén e-mail kan tegenwoordig meerdere aanvalsscenario's bevatten en zich in realtime aanpassen aan het apparaat van het slachtoffer. Cybercriminelen combineren overtuigende social engineering met technieken die beveiligingsoplossingen doelbewust proberen te omzeilen. Daardoor is het belangrijker dan ooit dat organisaties niet alleen investeren in technische beveiliging, maar medewerkers ook leren dit soort geavanceerde aanvallen te herkennen en er adequaat op te reageren."

Een uitgebreide technische analyse van de OS-aware phishingcampagne, inclusief Indicators of Compromise (IoC's) en aanbevelingen voor verdediging, is te lezen in de blog van KnowBe4 Threat Labs.