Una nuova e sofisticata piattaforma di phishing, denominata ZeroTokens, consente agli aggressori di monitorare e manipolare le sessioni delle vittime in tempo reale, adattando dinamicamente gli attacchi per rubare credenziali e informazioni finanziarie.
Una recente analisi condotta da Abnormal AI ha portato alla luce una nuova e preoccupante minaccia nel panorama della cybersecurity: una piattaforma di phishing chiamata ZeroTokens. Questa soluzione innovativa offre agli aggressori la capacità di avere una visibilità in tempo reale sulle sessioni delle vittime e di modificare dinamicamente le richieste successive, permettendo agli attacchi di adattarsi istantaneamente mentre mirano a rubare credenziali e informazioni finanziarie.
La piattaforma ZeroTokens si distingue per la sua capacità di consentire a un operatore umano di monitorare le informazioni inserite dalle vittime e di guidare il flusso del phishing in modo personalizzato. Contemporaneamente, i dati raccolti possono essere utilizzati per perpetrare ulteriori frodi contro l'istituzione finanziaria legittima.
Secondo la ricerca di Abnormal AI, la campagna che ha sfruttato ZeroTokens ha inviato oltre 45.000 messaggi a più di 24.000 destinatari distribuiti in oltre 700 organizzazioni. In un singolo giorno di picco, sono stati registrati circa 24.000 messaggi inviati.
La campagna ha utilizzato dieci domini di invio e nove account SendGrid compromessi. I messaggi sono riusciti a superare i controlli SPF, DKIM e DMARC, sfruttando come pretesto la revisione della documentazione fiscale W-8BEN per i destinatari con partecipazioni azionarie negli Stati Uniti, un metodo credibile per attirare le vittime.
Il sito di phishing era una replica fedele dell'istituzione finanziaria target e poteva presentare fino a otto fasi, modellate sul processo di verifica della banca o del broker. Man mano che le vittime inserivano le informazioni, ZeroTokens aggiornava lo stato della sessione sulla piattaforma dell'operatore, permettendogli di scegliere quale schermata presentare successivamente. Questo flusso osservato mirava alla raccolta di credenziali di accesso, dettagli di carte d'identità e carte di credito, codici di verifica SMS, approvazioni tramite app e password di trading separate. Una connessione WebSocket persistente trasmetteva gli input della vittima alla console dell'operatore, consentendo a quest'ultimo di controllare attivamente la sessione.
L'operatore poteva anche gestire i tentativi di verifica falliti mostrando un'ulteriore richiesta, mantenendo attiva l'interazione invece di interrompere la sessione di phishing. Una volta completata la raccolta dei dati, la vittima poteva essere reindirizzata al sito web legittimo dell'istituzione.
ZeroTokens supportava 53 istituzioni finanziarie e 36 modelli di emittenti di carte, coprendo banche e broker in diverse regioni geografiche. La console della piattaforma presentava ruoli distinti di super-amministratore e operatore, portando i ricercatori a valutare con alta probabilità che si trattasse di uno strumento sviluppato internamente per un singolo gruppo criminale, piuttosto che di un servizio di phishing-as-a-service (PaaS) affittato.
La piattaforma stessa non offriva funzionalità per prelievi, trasferimenti, modifiche di beneficiari o ordini di trading. Pertanto, si presume che il furto finanziario o la reindirizzamento dei pagamenti avvengano esternamente alla piattaforma, utilizzando le informazioni raccolte durante l'interazione di phishing.
Questa evoluzione nel phishing rappresenta una minaccia significativa, poiché la capacità di adattamento in tempo reale rende gli attacchi più convincenti e difficili da rilevare con i metodi tradizionali. La natura personalizzata e reattiva di queste campagne richiede un approccio di difesa più dinamico e basato sull'intelligenza artificiale per contrastare efficacemente queste minacce.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
