Istraživači iz Okta Threat Intelligence otkrili su novu platformu za onlajn prevare pod nazivom VoidProxy. U izvještaju objavljenom 11. septembra, istraživači navode da je riječ o Phishing-as-a-Service (PhaaS), platformi koja sajber kriminalcima nudi sve potrebne alate za pokretanje napada.
VoidProxy je posebno opasan jer napadačima omogućava da zaobiđu višefaktorsku autentifikaciju (MFA) – bezbjednosni mehanizam koji zahtijeva dodatni kod, pored lozinke, kako bi potvrdio identitet korisnika. Platforma koristi tehniku poznatu kao Adversary-in-the-Middle (AitM), koja presreće lozinke, MFA kodove i druge podatke u realnom vremenu.
Napad obično počinje mejlom koji dolazi sa kompromitovanog naloga poznatih ESP (Email Service Provider) platformi, kao što su Constant Contact, Active Campaign ili NotifyVisitors. Zbog toga takvi mejlovi uspijevaju da prođu filtere za spam.
Kada korisnik klikne na link iz mejla, otvara se lažna stranica za prijavu koja izgleda identično kao legitimna Microsoft ili Google stranica za prijavu.
Ako žrtva unese svoje podatke i MFA kod, VoidProxy sistem ih odmah presreće, zajedno sa kolačićem sesije, ključnim elementom koji omogućava da korisnik ostane prijavljen na nalog. Kada napadači dođu do tog kolačića, mogu pristupiti nalogu i zaobići sve bezbjednosne provjere, kao da su legitimni korisnik.
VoidProxy koristi dvodijelnu infrastrukturu dizajniranu da izbjegne otkrivanje. Platforma je zaštićena višeslojnim antianalitičkim mehanizmima – koristi kompromitovane imejl naloge, preusmjeravanja, Cloudflare CAPTCHA provjere i druge tehnike kako bi otežala praćenje. Administratorski panel omogućava kriminalcima da u realnom vremenu dobijaju ukradene podatke, najčešće putem Telegrama ili drugih onlajn servisa, što pokazuje visok stepen automatizacije operacije.
Platforma je otkrivena kada nije uspjela da kompromituje nalog korisnika koji je bio zaštićen Okta FastPass autentifikatorom, što je istraživačima bio trag za razotkrivanje cijele šeme.
