Nonostante un'operazione coordinata di smantellamento guidata dall'FBI e da Google, il kit di phishing 'Outsider' continua a operare, lanciando nuove campagne e dimostrando la persistenza delle minacce 'phishing-as-a-service'.
Nonostante un'imponente operazione di contrasto condotta dall'FBI in collaborazione con Google e Lumen's Black Lotus Labs, denominata "Operation Ghost Hook", il kit di phishing "Outsider" ha dimostrato una notevole capacità di recupero. A poche settimane dallo smantellamento delle sue infrastrutture principali, i ricercatori hanno identificato centinaia di nuove pagine di phishing riconducibili a questa operazione, evidenziando la resilienza delle piattaforme di phishing-as-a-service (PaaS).
L'operazione "Ghost Hook", avviata a giugno, aveva portato al sequestro dei server centrali del gruppo "ChenLun", gestore del kit Outsider, di un negozio online su Shopify, di circa 100.000 dollari in criptovalute e di migliaia di domini registrati negli Stati Uniti. L'obiettivo era interrompere le attività di un'operazione che, secondo le stime di Group-IB, tra dicembre 2025 e maggio 2026 aveva generato oltre 100.000 pagine di phishing distribuite in più di 54 paesi.
Nonostante gli sforzi congiunti delle autorità, i ricercatori di Group-IB hanno rilevato la comparsa di oltre 700 nuovi domini associati al kit Outsider nel solo mese successivo all'operazione "Ghost Hook". Questo dato suggerisce che gli affiliati, ovvero gli utenti che acquistavano e utilizzavano il kit, hanno continuato a operare sfruttando le risorse residue o riorganizzando rapidamente le proprie attività. Prima dello smantellamento, il gruppo "ChenLun" operava attraverso un ecosistema su Telegram, dove contava oltre 5.000 iscritti e più di 230 utenti attivi che avevano acquistato il kit. Il canale principale è stato successivamente eliminato, ma la sua influenza sembra persistere.
Il kit Outsider si distingue per la sua versatilità e sofisticazione. Offre un vasto catalogo di 267 template predefiniti, progettati per impersonare istituzioni finanziarie, società di telecomunicazioni, servizi postali, enti governativi e sistemi di pedaggio. Le campagne venivano veicolate principalmente tramite smishing (phishing via SMS) e gestite attraverso la piattaforma Telegram. Un esempio concreto di attacco è stato osservato in una campagna che imitava l'Autorità dei Trasporti Terrestri di Singapore (LTA), inducendo gli utenti a credere a un presunto problema di sincronizzazione dati e fornendo istruzioni per aggirare i filtri anti-spam dei dispositivi mobili.
Una delle caratteristiche più preoccupanti del kit Outsider è l'integrazione di funzionalità adversary-in-the-middle (AiTM). Queste permettono agli operatori di interagire in tempo reale con le vittime durante il processo di phishing. Possono presentare dinamicamente richieste di autenticazione a più fattori (MFA), come codici SMS, email, PIN o codici da app, e persino reindirizzare l'utente a pagine precedenti per richiedere ulteriori informazioni di pagamento. L'uso di WebSockets consente una comunicazione fluida e in tempo reale tra le pagine di phishing e il pannello di controllo dell'operatore, permettendo la cattura immediata dei dati inseriti, anche se l'utente abbandona il modulo prima dell'invio.
I ricercatori hanno identificato componenti JavaScript capaci di estrarre dati finanziari sensibili, credenziali bancarie, informazioni PayPal e codici di autenticazione. Il kit include inoltre meccanismi per tracciare le vittime attraverso diverse sessioni del browser e per identificare e aggirare i sistemi di sicurezza automatizzati. Le pagine di phishing presentano una convenzione di denominazione dei file che, secondo Group-IB, potrebbe essere utilizzata per identificare e segnalare tempestivamente nuove istanze del kit alle autorità competenti.
Per contrastare efficacemente minacce come Outsider, Group-IB raccomanda un monitoraggio costante delle attività di abuso di brand, specialmente quelle veicolate tramite SMS. Agli utenti finali viene consigliato di verificare sempre gli avvisi e le richieste di informazioni attraverso i canali ufficiali delle organizzazioni (come le app dedicate) piuttosto che cliccare sui link contenuti nei messaggi ricevuti. La consapevolezza e la prudenza rimangono le prime linee di difesa contro queste sofisticate minacce informatiche.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
