Новая фишинговая атака имитирует портал gov.il: данные крадутся в режиме реального времени

На прошлой неделе Национальное киберуправление предупредило о мошенничестве, имитирующем «Почту Израиля». Сейчас раскрыта новая фишинговая атака, имитирующая правительственный портал gov.il, после того как вредоносная ссылка была просканирована через сайт MAX и передана на проверку.

Согласно анализу компании Cyvore, речь идет об интерактивной фишинговой системе, которая позволяет злоумышленнику следить за жертвой в режиме реального времени, похищать данные в процессе ввода и перенаправлять пользователя между этапами проверки в зависимости от его реакции.

«Это было не просто любительское фишинговое сообщение, а живая атакующая система, которая сопровождает жертву в реальном времени, крадет данные во время ввода и может даже менять экран в зависимости от того, что нужно злоумышленнику в данный момент», — говорит Ифтах Ротем, соучредитель и CPO компании. По его словам, сайт был отключен вчера, но, поскольку он является частью атакующей кампании, он может вернуться в различных версиях.

Вредоносная ссылка распространялась через SMS-сообщения якобы от имени «Управления дорожного движения Израиля» — органа, который не существует. В сообщениях утверждалось, что владелец автомобиля совершил нарушение правил дорожного движения и обязан оплатить штраф в размере 100 шекелей.

Переход по ссылке ведет на сайт, созданный так, чтобы выглядеть как легитимный правительственный сервис. За оболочкой скрывается инфраструктура, предназначенная для сбора номера телефона, данных кредитной карты, одноразового кода подтверждения (OTP), подтверждения в банковском приложении, адреса и других личных данных.

Одним из серьезных выводов проверки является то, что система не ждет, пока пользователь нажмет кнопку отправки. Согласно анализу, код передает злоумышленнику содержимое полей во время ввода с помощью событий input_text, которые отправляются при каждом нажатии клавиши. Это означает, что даже если пользователь понимает, что что-то подозрительно, и закрывает окно до завершения процесса, часть введенной информации или даже вся она уже может попасть к злоумышленнику.

Система позволяет оператору управлять экраном, отображаемым жертве в реальном времени. В коде были найдены команды, которые переводят пользователя на экран ввода OTP, на экран индивидуальной проверки, на экран подтверждения в приложении, на экраны успеха и ошибки, а также на экран возврата. Кроме того, оператор может обновить страницу, заблокировать пользователя или вывести его из процесса.

На практике жертва вводит данные, злоумышленник проверяет их через реальный сервис и в зависимости от результата решает, что будет показано на следующем этапе. Неверный код может привести к запросу на ввод дополнительного кода, запрос на подтверждение от банка может перевести жертву на экран, требующий подтвердить действие, а неподходящая карта может привести к просьбе попробовать другую карту.

Согласно анализу, код создает для каждой жертвы уникальный идентификатор и сохраняет его в нескольких механизмах хранения в браузере, включая Cookie, localStorage, sessionStorage и IndexedDB. Система синхронизирует этот идентификатор между механизмами, поэтому даже после перезагрузки страницы или очистки части информации в браузере она может распознать пользователя и вернуть его в тот же процесс.

Проверка также выявила сильную техническую связь между атакой, имитирующей gov.il, и предыдущей фишинговой кампанией, имитирующей «Почту Израиля». Согласно анализу, в обеих кампаниях были обнаружены схожие механизмы управления, те же события связи и тот же путь API, наряду с экранами карт, OTP и подтверждения в приложении.

Основное различие заключается в упаковке. В предыдущей кампании была представлена имитация «Почты Израиля», включавшая небольшую оплату за доставку. В новой атаке та же инфраструктура была адаптирована под правительственный вид, со ссылкой на gov.il и файлами, предназначенными для имитации правительственного сервисного портала.

Согласно технической оценке, возможно, речь идет об еще одной версии того же фишингового набора или того же исходного кода, который был адаптирован под другой бренд. Тем не менее, сам по себе код не доказывает, что атаки были запущены одним и тем же человеком или одной и той же группой.

Система также умеет отсеивать нежелательных посетителей. Если сервер решает заблокировать пользователя, код может перенаправить его на реальный сайт gov.il. Таким образом, исследователь, автоматический сканер или подозрительный пользователь могут увидеть нормальный правительственный сайт и подумать, что ссылка была легитимной.

Как можно защититься?

Чтобы снизить риск, рекомендуется заходить на сайты правительства, банков, кредитных компаний и «Почты Израиля» только через адрес, введенный вручную, или через официальное приложение. Не следует передавать данные карты, код OTP или подтверждение в приложении после перехода по ссылке, полученной в SMS, WhatsApp, по электронной почте или в рекламе. Если есть сомнения, можно просканировать ссылку на сайте scanmysms.com.

Одноразовый код подтверждения может быть последним этапом, позволяющим злоумышленнику завершить транзакцию или захватить контроль над счетом. Если сайт просит снова и снова вводить код, быстро подтвердить действие в приложении или попробовать другую карту, следует остановить процесс и обратиться напрямую в соответствующую организацию.