Futuras campanhas de phishing podem não envolver mais uma página web física detectável.
A Barracuda analisou um novo tipo de campanha de phishing que agrega discrição e flexibilidade ao modelo tradicional. Em vez da engenharia social convencional para convencer o alvo a visitar uma página estática comprometida, esta campanha gera uma URL blob (URL temporária usada pelo navegador para armazenar dados em formato de objeto binário) capaz de renderizar e entregar a página de phishing dentro do próprio navegador da vítima. Isso reduz a possibilidade de que scanners de segurança detectem tanto o e-mail de engenharia social quanto o endereço estático da página de phishing.
O fluxo do ataque é semelhante ao do phishing tradicional, já que a vítima precisa ser direcionada a um recurso externo. Nesta campanha, porém, o direcionamento é ofuscado por meio de processos confiáveis. Tudo começa com um e-mail com tema do Docusign (plataforma de assinatura digital), acompanhado de um convite de calendário anexado. O convite de calendário é irrelevante para o ataque, mas faz com que o e-mail pareça ser uma comunicação empresarial legítima.
Um redirecionamento elaborado conduz o usuário até o Microsoft Teams, que então carrega um recurso externo hospedado em cdn.bloom[.]io. É justamente esse recurso que é convertido pelo navegador na URL blob que renderiza a página de phishing, a qual existe apenas dentro do navegador.
Como esse processo está envolto em ativos confiáveis da Microsoft, ele apresenta todas as características de algo legítimo e, provavelmente, não dispara nenhum alarme, oferecendo mais discrição do que as páginas de phishing externas e estáticas tradicionais.
A página de phishing criada via blob existe exclusivamente no navegador da vítima. A análise da Barracuda mostra que service workers (scripts executados em segundo plano pelo navegador), iframes (quadros que carregam conteúdo de outras páginas dentro de um site) e controles de back-end (servidores e sistemas de retaguarda) gerenciam o fluxo de phishing subsequente e a navegação do usuário. Uma configuração oculta de comando e controle também demonstra que essa página de phishing construída automaticamente não é um elemento isolado, mas parte de uma plataforma gerenciada, que pode ser operada, atualizada e direcionada de forma centralizada para várias vítimas simultaneamente.
Esta campanha mostra que o uso de páginas de phishing criadas com URL blob pode trazer maior flexibilidade e mais discrição aos ataques. "Essa campanha demonstra como o phishing está evoluindo para além de sites falsos e domínios suspeitos, reduzindo muitos dos indicadores que as equipes de segurança tradicionalmente utilizam para detecção", escrevem os pesquisadores. Não há página de phishing para bloquear.
Segundo os pesquisadores, a detecção futura de phishing exigirá maior ênfase em proteção de identidade, segurança do navegador e detecção comportamental — não há página física que possa disparar um alarme. As técnicas devem incluir inspeção mais detalhada da atividade do navegador envolvendo URLs blob; monitoramento de fluxos de autorização OAuth (protocolo de autorização aberta) com destinos inesperados; e uso de controles de segurança de e-mail que analisem o caminho completo do clique, em vez de depender apenas da URL inicial.
