フィッシング基盤「ZeroTokens」、攻撃をリアルタイムで操作

「ZeroTokens」と名付けられたフィッシング基盤は、攻撃者が被害者のセッションをリアルタイムで監視し、後続のプロンプトを即座に変更できるようにするものです。これにより、認証情報や金融情報を狙う攻撃をその場で適応させることが可能になります。

この基盤を使えば、オペレーターは被害者が入力した情報を監視しながら個別のフィッシングフローを操作でき、同時に窃取したデータを正規の金融機関に対して悪用することもできます。

Abnormal AIは8月25日、本キャンペーンに関する分析結果 を公開しました。それによると、700を超える組織に所属する24,000人以上の受信者に対し、45,000通を超えるメッセージが送信されたとのことです。同調査によれば、ピーク時には1日で約24,000通ものメッセージが送信されていました。

各フィッシングセッションを制御するライブオペレーター

このキャンペーンでは10個の送信ドメインと、悪用された9個のSendGridアカウントが使用されていました。メッセージはSPF、DKIM、DMARCの各認証チェックを通過しており、米国の証券口座を保有する受信者に対しては、W-8BEN税務書類の確認という信憑性の高い口実が用いられていました。

フィッシングサイトは標的となった金融機関のサイトを模倣しており、その本人確認プロセスを模した最大8段階の画面を表示できるようになっていました。被害者が情報を入力すると、ZeroTokensはセッションの状態を自らの基盤に報告し、オペレーターが次にどの画面を表示するかを選択できる仕組みになっていました。

確認されたフローでは、ログイン認証情報、運転免許証やカードの詳細情報、SMS認証コード、アプリベースの承認、さらに別途の取引用パスワードまでもが収集されていました。永続的なWebSocket接続により被害者の入力内容がオペレーターのコンソールへ中継される一方で、オペレーター側からセッションを制御することも可能でした。

オペレーターは本人確認に失敗した場合にも別のプロンプトを表示することで対応でき、フィッシングセッションを終了させることなくやり取りを継続させることができました。情報収集が完了すると、被害者は正規の金融機関のウェブサイトへリダイレクトされる仕組みになっていました。

リアルタイムフィッシングに関する関連記事はこちら: Okta、MFAを回避するカスタマイズ型・反応型ビッシング攻撃を報告

その規模が示唆する自前の犯罪組織による運用

ZeroTokensは53の金融機関と36のカード発行会社のテンプレートに対応しており、複数地域の銀行や証券会社を網羅していました。

Abnormal AIは、このツールのコンソールにスーパー管理者とオペレーターという別々の権限ロールが存在することを発見しました。この点から研究者らは、これがレンタル型のフィッシング・アズ・ア・サービス(PaaS)ではなく、単一グループ向けに開発された自前のツールである可能性が高いと、高い確度で評価しています。

この基盤自体には、出金や送金、受取人変更、取引注文などの機能は備わっていませんでした。そのためAbnormalは、金銭の窃取や送金の乗っ取りは、ZeroTokens自体を通じて行われるのではなく、フィッシングのやり取りを通じて収集された情報を用いて、この基盤の外部で行われる可能性が最も高いと評価しています。