攻撃者は、ホスティングされた認証情報収集ページに被害者を誘導する代わりに、blob URLを使って被害者のブラウザ内で直接フィッシングページを生成しています。
この手法により、検出が非常に難しくなります。フィッシングページが通常のインターネットアクセス可能なウェブページとして存在しないためです。
セキュリティツールは、被害者がリンクを開く前にこのページをクロールしたり、解析したり、分類・ブロックリスト化したりすることが容易にできません。ページは攻撃セッション中、ブラウザのメモリ内に一時的に作成されます。
このキャンペーンでは、攻撃チェーンをより信頼できるものに見せかけるため、MicrosoftのOAuthリダイレクトやMicrosoft Teamsドメインといった正規のMicrosoftサービスも利用しています。
被害者はブラウザ上で見慣れないフィッシングドメインではなくMicrosoftのインフラを目にするため、明らかな警告の兆候が減ってしまいます。
攻撃は、業務上の文書依頼を装ったDocuSign風のフィッシングメールから始まります。このメッセージにはカレンダー招待ファイルが含まれており、メールを日常的で疑わしくないものに見せる効果があります。
カレンダーファイル自体には、従来型のフィッシングリンクが直接含まれているわけではありません。代わりに、正規のMicrosoft OAuthエンドポイントを指しています。
攻撃者は巧妙に作成されたリダイレクトパラメータを悪用し、被害者をMicrosoftの認証インフラを経由させ、最終的にMicrosoft Teamsへ誘導します。
この攻撃フローは、身近なサービスへの信頼を悪用するように設計されています。
ブラウザが生成するblob URLは、リモートのWebサーバーではなくローカルのブラウザセッションに保存されたデータを指します。その結果、フィッシングコンテンツは防御側がスキャンやブロックを行えるような安定した公開URLとして公開されることがありません。
Barracudaの研究者によると、このフィッシングページはサービスワーカーとサンドボックス化されたiframeを使って攻撃のワークフローを管理しています。
サービスワーカーとは、リクエストの傍受やキャッシュの制御、バックグラウンド処理をサポートできるブラウザのコンポーネントです。このキャンペーンでは、ページ読み込み後の攻撃者によるナビゲーション制御やフィッシング関連リクエストの管理を助ける役割を果たしていると考えられます。
サンドボックス化されたiframeは、さらにもう一段階の分離と制御をもたらします。これによりフィッシングプロセスの一部が埋め込まれたブラウザフレーム内で実行できるようになり、従来のURLベースの対策による調査が一段と難しくなっています。
また、このフィッシングページはブラウザのメッセージング機能を通じて、攻撃者が管理するバックエンドインフラから指示を受け取ります。
つまり、運用者はすべてのリダイレクト先や目的地をフィッシングページにハードコードする必要がありません。
被害者の遷移経路をリアルタイムで動的に変更したり、フィッシングコンテンツを更新したり、異なるログイン画面へリダイレクトしたりすることが可能だと、Barracudaは述べています。
研究者らは、この攻撃活動が中央集権的に管理されたフィッシングプラットフォームの一部であることを示す、隠されたコマンド&コントロール設定を発見しました。
これにより攻撃者は、新たなフィッシングサイトを毎回構築することなく、複数の標的に対してキャンペーンを柔軟に更新できます。
16,000以上の組織から得られた最新のインテリジェンスで、脅威の検出率を58%向上。SOCにTIフィードを統合
翻訳元: https://cyberpress.org/browser-embedded-phishing-pages-emerge/
