新たに確認されたフィッシング・アズ・ア・サービス（PhaaS）フレームワーク「JWR」が、巧妙なSMS詐欺を通じて銀行や決済サービスの顧客を標的にしています。
Cisco Talosによると、このツールキットを使えば詐欺実行者は被害者の入力をリアルタイムで監視でき、偽のログイン画面、決済画面、認証画面へと被害者を誘導して、カード情報や認証情報、個人識別データ、ワンタイムパスコードを盗み取ることができます。
この攻撃活動では、未払いの道路通行料金、郵便料金、荷物配送料金といった、おなじみのスミッシング（SMSフィッシング）の手口が使われています。
被害者が悪意のあるリンクを開くと、運輸当局や配送業者、銀行、決済プラットフォームを模倣した偽サイトに誘導されます。
Talosは、シンガポールやUAE(アラブ首長国連邦)、さらに東南アジアや中東地域で展開されているサービスに関連する誘導事例を確認しています。
JWRは、送信されたフォームを単に収集するだけの一般的なフィッシングキットよりも危険性が高いといえます。ブラウザ側のクライアントは、攻撃者のコマンド＆コントロールサーバーとの間でAES-CTR暗号化されたWebSocket接続を維持します。
これにより、攻撃者はカード番号の一部、パスワード、認証コードなど、入力される情報をリアルタイムで確認できます。
攻撃者は、被害者がフォームを送信する前に対応することも可能です。例えば、カード番号を入手した後、偽の「カードが拒否されました」という警告を表示し、別のカード情報を要求することもできます。
被害者が有効なカード情報を提供した場合、攻撃者はセッションをSMSワンタイムパスワード、メール認証コード、暗証番号、あるいは銀行アプリの承認画面へと移行させることができます。
Talosによれば、このフレームワークには44種類のフィッシングページと40種類を超えるリモートコマンドが含まれています。Shopify、PayPal、Apple、Klarna、銀行ログイン画面、購入手続き画面などを模倣できます。
このキットはShopifyやWooCommerceとの連携もサポートしており、商品名や数量、価格を含むショッピングカートを再現できるため、不正な購入手続きページの信憑性を大幅に高めています。
セッションの終了時には、ツールキットが収集したデータをサーバーへ送信し、被害者を正規サイトへリダイレクトすることで、不審感を抱かせないようにします。
Cisco Talosは中程度の確度で、JWRは中国語圏の脅威アクター「Outsider Enterprise」に関連するPhaaSプラットフォーム「The Outsider」の派生型であると評価しています。
この評価は、クライアント側スクリプトや機能の類似性に基づくものです。ただし、TalosはJWRとLucid、Darcula、Lighthouseなど他の中国語圏のキットとの間にコードレベルでの重複は確認していません。
セキュリティチームは、JWRを単なる悪意のあるURLの問題としてではなく、対話型の詐欺プラットフォームとして扱う必要があります。
検知は、SMSで配信されるリンク、通常とは異なるWebSocketインフラへのブラウザ接続、繰り返される認証プロンプト、そして最終的なデータ持ち出し要求という一連の流れ全体に焦点を当てるべきだと、andreafortuna氏は述べています。
Talosは検知・ブロック用として、ClamAVシグネチャJs.Phishing.JwrFramework-10060456-0と、SID 66924から66928までのSnort 2/Snort 3ルールを公開しました。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの全容を把握し、SOCを強化してMTTRを短縮しましょう
翻訳元: https://cyberpress.org/jwr-phaas-hits-banking/
