LogoKitフィッシングキット、被害者サイトをリアルタイムでスクリーンショット

フィッシング・アズ・ア・サービス(PaaS)プラットフォームが、被害者ごとに固有のログインページをリアルタイムで構築していることが確認されました。標的となった組織自身のウェブサイトのライブスクリーンショットを取得し、それをページの背景として使用する手口です。

Barracudaが7月29日に公開した新たな調査によると、最近のLogoKitのキャンペーンでは、フィッシングURLから被害者のメールアドレスを抽出し、そのドメインから勤務先を特定した上で、商用ウェブサービスを呼び出してその場でマッチするページを組み立てていました。

2021年にこのフィッシングキットに名前を付けたRiskIQは、当時すでにClearbitからブランドロゴを取得しており、被害者のメールアドレスをURLに含める手口もすでに使われていたことを発見していました。

今回変化したのは、ライブのウェブサイトスクリーンショットです。Barracudaはこれを、ブランドなりすましから環境なりすましへの転換だと説明しています。汎用的なレプリカを提供するのではなく、被害者の実際のウェブ環境の一部を再現するというものです。

フィッシングキットの検知回避についてさらに読む: Starkiller、MFAを回避する新たな商用グレードのフィッシングキット

正規サービスが仕事を代行

Barracudaは、このキットが商用スクリーンショットサービスであるThum.ioを使って被害者の実際のウェブサイトをフィッシング背景用に取得し、Clearbitからマッチするブランドロゴを取得していることを発見しました。

ページのレンダリング時には、Google Favicon、ImageKit、Microlinkの各APIがさらに本物らしい画像を読み込んでいました。

誘導文面はありふれた内容で、パスワードや証明書の有効期限切れ警告、アクセス制限、配送失敗、勤怠時間更新、ICANN確認通知などを装っていました。

キャンペーンのメールは、英語、ドイツ語、フランス語、スペイン語、中国語、韓国語で確認されています。

サーバーなし、テンプレートなし、シグネチャなし

認証情報の窃取は、攻撃者が管理するバックエンドではなくTelegramボットを通じて行われていました。被害者はその後、本物のサイトへとリダイレクトされます。Barracudaは、被害者は最初にパスワードを入力し間違えたと思い込む可能性が高いと指摘しています。

自前のインフラではなくクラウドサービスに依存することで、キャンペーンの展開は容易になり、耐障害性が高まる一方、捜査担当者にとっては阻止が難しくなっています。

被害者ごとに異なるアプローチは、従来の検知手法も無力化します。各ページはリクエスト時にライブデータから組み立てられるため、ベンダーがフィンガープリントを取れる静的なテンプレートは存在せず、ブロックリストに登録できる安定した指標もありません。これは2月にAbnormalの研究者らがStarkillerキットについて指摘したのと同様の難しさです。

Barracudaは各組織に対し、FIDO2キーやパスキーといったフィッシング耐性のある多要素認証(MFA)の導入を推奨しています。これらは認証を正規のドメインに紐付けるため、偽のページでは正しい暗号学的チャレンジを提示できません。

また、条件付きアクセスルール、ブラウザ分離、そして新規登録ドメインやパス内にメールアドレスを含むリンクを検知できるURLフィルタリングの導入も推奨しています。