Prima fază a atacului: Emailul fals

Totul începe cu un email fals, trimis de pe adrese care nu aparțin ANAF. Adresele oficiale ale instituției folosesc exclusiv domeniile @mfinante.ro sau @anaf.ro. Orice altă variantă nu este legitimă. ANAF nu va trimite niciodată mesaje de pe adrese personale, nominale sau de pe servicii publice precum @gmail.com, @yahoo.com sau altele similare.

Exemple de adrese folosite în aceste campanii: radiah@jffa.my, administracion@espaciodiversia.com, anafroo@wildapricot.org.

Așa cum se întâmplă în majoritatea atacurilor de acest tip documentate până acum, modul de operare este unul bine cunoscut. Atacatorii folosesc infrastructuri deja compromise: servere de email sau site-uri sparte anterior, iar uneori chiar adrese false de Gmail sau Yahoo. De pe acestea trimit în masă mesaje către liste de email obținute din alte campanii de spam, phishing, breșe de date sau baze de date compromise.

Mesajele sunt redactate generic și construite în jurul unei urgențe artificiale, tocmai pentru a grăbi victima și a-i distrage atenția de la detaliile care ar putea trăda înșelătoria.

A doua fază a atacului: Pagina de phishing

Odată ce utilizatorul apasă pe butonul sau linkul din email, este redirecționat către o pagină falsă, care nu aparține ANAF. În cazurile analizate de noi, victimele ajungeau pe domenii precum anaf-ro.web.app, scanned.page, anaf.life sau headlinemonitor.com. Deși unele dintre acestea conțin cuvântul „anaf” în denumire, ele nu au nicio legătură cu domeniul oficial anaf.ro.

Pentru a ocoli filtrele de securitate la nivel de email și pentru a îngreuna detectarea, atacatorii folosesc frecvent servicii de redirecționare, precum bit.ly sau platforme similare.

Odată ajuns pe pagina de phishing, utilizatorul poate întâlni mai multe variante de interfață, însă toate urmăresc același tipar: copiază sigla și identitatea vizuală ANAF și solicită date sensibile, precum CNP-ul, numărul de telefon, adresa de email, informațiile cardului bancar sau alte date personale.

Scopul final este de colectare de date personale ce pot fi folosite în ulterioare atacuri sau uneori chiar colectarea cardurilor și extragerea unor sume de bani direct.

The post Emailuri false în numele ANAF. Phishing la plata taxelor. first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

Codurile QR

Atacatorii au folosit stickere albe aplicate direct peste codurile QR originale de pe panouri (figura 1). Deși bine aliniate, acestea păreau lipite în grabă — multe erau deja parțial dezlipite sau prezentau urme vizibile de deteriorare.

La scanare, codurile false nu redirecționau către platforma oficială de plată (https://pay.qport.app/p/cmpb), ci către un link generat prin scanned.page — un serviciu gratuit de creare și gestionare a codurilor QR. Acest URL ( https[:]//scanned.page/p/685b040e3a87f ) intermediar permitea atacatorului să modifice oricând destinația finală de redirecționare.

Până pe 26.07.2025, ora 02:00 AM, redirecționarea ducea către un site malițios (https[:]//209-38-122-248.cprapid.com); ulterior, redirectul a fost înlocuit cu linkul legitim QPort, semn că atacatorul a încercat să șteargă urmele și să închidă campania.

Platforma web

După scanare, utilizatorul era redirecționat către https[:]//209-38-122-248.cprapid.com. Pe lângă aspectul evident suspect al linkului, domeniul principal — cprapid.com — aparține infrastructurii CPanel, folosită pentru administrarea conturilor de hosting. Subdomeniul 209-38-122-248 este generat automat de CPanel și corespunde direct adresei IP a serverului care găzduia site-ul malițios: 209.38.122.248.

Pagina de la adresa https[:]//209-38-122-248.cprapid.com (vezi 2) imita identitatea vizuală a platformei PayByPhone — un serviciu legitim de plată a parcării disponibil în țări precum UK, Franța, Germania, Elveția, Italia, SUA și Canada. Deși acest serviciu nu operează în România, atacatorul a folosit sigla și designul pentru a părea credibil.

Site-ul afișa un formular în care utilizatorul introducea durata dorită pentru parcare (cu un preț vizibil mai mic decât cel real din București), numărul de înmatriculare și datele cardului bancar. După completare, era afișată o scurtă animație de încărcare, urmată de o solicitare de „validare a tokenului”. În realitate, datele cardului erau deja transmise, iar atacatorii le foloseau pe un alt site, în paralel, pentru a efectua plăți frauduloase.

În plus, serverul conținea resurse statice organizate în două directoare:

• /img/ – conținea logo-urile: tpark, PayByPhone, Visa, American Express

• /files/ – conținea fișiere precum app.css, audio.mp3, engine.js și NeutrinoAPI.php (figura 3)

Endpointul admin.php era restricționat și nu a putut fi accesat direct. Presupunem că servea drept interfață de administrare pentru atacator, posibil utilizată pentru monitorizarea activității și gestionarea datelor colectate. Accesul părea condiționat de parametri suplimentari sau autentificare.

Datele bancare completate în formularul din index.php erau transmise către endpointul gate.php. După trimitere, browserul iniția periodic requesturi către același endpoint, aparent pentru a verifica dacă serverul returnează un răspuns sau comandă nouă (figura 5) – fiecare parametru avea o comandă definită – vezi conținutul fișierului javascript mai jos.

Analiza codului sursă din index.php și /files/engine.js a evidențiat logica din spatele fluxului de interacțiune și a parametrilor utilizați, dar și mai multe comentarii scrise în limba română — un indiciu relevant privind localizarea autorului (figurile 6 și 7).

Pentru corelare, am investigat alți indicatori asociați cu gate.php, index.php și infrastructura cprapid.com. Am descoperit campanii (figurile 8, 9 și 10) similare datând din 2021 și 2025, care reutilizau aceleași fișiere (engine.js), dar fără comentarii în română. Cel mai probabil, atacatorul a adaptat scripturi și playbookuri deja existente, folosite anterior în alte regiuni, modificându-le pentru contextul local.

Lista completă a indicatorilor ce prezintă elemente similare, alături de codurile sursă ale fișierelor analizate, este disponibilă la finalul articolului.

Userul folosit pe cPanel precum si unul dintre subdomeni erau numite kakat11 (kakat11.209-38-122-248.cprapid.com – figura 11), user pe care il regasim ulterior si pe server, unde exista o baza de date numita: kakat11209381222_kaka1 .

Baza de date

Baza de date kakat11209381222_kaka1 conținea trei tabele: admin_settings, results și visits. Tabela admin_settings avea o singura valoare redirect = https://www.paybyphone.com/, indicând că atacatorul folosea redirectarea către site-ul real PayByPhone — compania pe care o imita vizual, în locul celei oficiale din București.

Tabelele visits și results stocau date despre utilizatori: accesări ale paginii și informațiile cardurilor introduse. Am identificat aproximativ 30 de IP-uri unice și peste 80 de sesiuni, toate înregistrate într-un interval scurt de 2–3 ore. Presupunem că baza de date era curățată periodic, ceea ce face imposibilă estimarea exactă a duratei campaniei sau a numărului total de victime.

The post Investigație: Coduri QR false pe panourile pentru parcări first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

UPDATE 07.11.2024

Site-ul partidului AUR și-a revenit. La mai bine de 24 de ore de la atacul cibernetic raportat inițial, echipa tehnică a partidului AUR a reușit să rezolve problema care a afectat funcționarea site-ului oficial. Începând cu data de 07.11.2024, platforma online a formațiunii politice este din nou accesibilă publicului, funcționând la parametri normali.

Acest incident a subliniat importanța securității cibernetice pentru organizațiile politice și vulnerabilitatea lor în fața atacurilor online.

Update 20:00

Atacatorii au reușit să recapete accesul și să reinstaleze pagina de defacement. 

DNSC a anunțat printr-un comunicat că au luat legătura cu reprezentanții și administratorii website-ului însă aceștia au refuzat orice sprijin și ajutor din partea directoratului.

„Specialiști din cadrul Direcției Generale Operațiuni Tehnice (DGOT) au luat legătura astăzi atât cu reprezentanții companiei de hosting, cât și cu reprezentanții AUR, pentru a oferi sprijin tehnic pentru remedierea problemei, însă li s-a comunicat că nu este nevoie de asistență în acest caz, iar problema va fi gestionată de deținătorii site-ului.” (Sursa)

Update 17:45

Landing-ul folosit de hackeri a fost șters, acum domeniul afișează conținutul paginii originale.

Update 17:00

Hackerii au postat presupuse imagini din email-urile pe care au reușit să le compromită.

Aceștia suțin că au primit deja oferte pentru datele furate.

Update 15:00

Website-ul partidulaur.ro este în continuare ,,spart” de către hackeri și afișează o pagină falsă. Se pare că breșa de securitate nu a fost încă depistată.

Update 14:30

Deși inițial administratorii website-ului au reușit să restaureze conținutul original, hackerii au intervenit din nou și site-ul afișează în continuare pagina falsă.

Știrea inițială - Context

În dimineața zilei de 06 Noiembrie 2024 site-ul oficial al Alianței pentru Unirea Românilor (AUR) a fost victima unui atac cibernetic de tip defacement. Hackerii au reușit să modifice pagina principală a site-ului https://partidulaur.ro și să posteze mesaje neautorizate.

Atacatorii au înlocuit conținutul original al site-ului cu mesaje provocatoare în limbile engleză și rusă. Printre afirmațiile postate se numărau:

• „Avem toată baza de date AUR și toate informațiile sensibile – toate mesaje private, inclusiv un s3x tape cu George Simion.„
• „Domeniul acesta este confiscat de Rusia.„

Aceste mesaje au stârnit rapid speculații cu privire la originea atacului și potențialele implicații politice ale acestuia. În special, afirmația referitoare la o presupusă confiscare a domeniului de către Rusia ridică semne de întrebare serioase privind identitatea și motivațiile atacatorilor.

Reacția Partidului AUR

Reprezentanții AUR au acționat prompt pentru a remedia situația. În scurt timp de la descoperirea breșei, mesajele neautorizate au fost eliminate de pe site. Partidul nu a făcut încă declarații oficiale cu privire la incident sau la veridicitatea afirmațiilor hackerilor.

Acest incident ridică mai multe întrebări importante:

• Cine se află în spatele atacului și care sunt motivațiile lor?
• Ce măsuri de securitate avea implementate AUR pentru protejarea site-ului și a datelor sensibile?
• Există într-adevăr o breșă de securitate mai amplă care ar putea compromite informații confidențiale ale partidului și ale membrilor săi?

 

Acest incident subliniază importanța securității cibernetice în era digitală, mai ales pentru organizațiile politice. Rămâne de văzut cum va gestiona AUR această situație și ce măsuri va implementa pentru a preveni viitoare atacuri similare.

Indicatori

• partidulaur.ro
• XMR 42tUPqhrGrNJyfXgyfW3g9YgQLUuP1Bpe1k8sXC8ZAxrCAqQhxg9bavEF8JB5688dANzCWiPCtm9rEkxLKwrFfZM6UyZhS2
• https://pastebin.com/WXkSPwnM (Cod sursa ora 14:30)
• [h][t][t][p][s]://i[.]imgur[.]com/WYyE1AD[.]jpeg
• https://pastebin.com/jUAZLMHk  (Cod sursa ora 17:00)

The post Site-ul Partidului AUR, ținta unui atac cibernetic first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

Update 01.08.2024:

Gruparea Killsec tocmai a mărit suma pentru rascumparare de la 5.000 la 25.000 euro ce trebuiesc plătiți în următoarele 14 zile altfel datele STB vor fi publicate.

Știrea inițială:

În data de 30 Iulie 2024, gruparea de hackeri Killsec anunța că Societatea de Transport București (STB) a fost victima unui atac cibernetic. Aceștia au obținut acces la presupuse date ale companiei și cer o răscumpărare de 5.000 de euro pentru a nu publica datele obținute. STB are 15 zile la dispoziție să plătească răscumpărarea.

Conform anunțului făcut de hackeri pe un canal de Telegram pe 30 iulie, la ora 23:19, aceștia sunt în posesia unor presupuse date sensibile ale STB. În plus, Killsec a declarat pe website-ul lor că urmează să publice informații despre alte două victime, inclusiv un spital tot din România.

Cine sunt hackerii de la Killsec?

Killsec este o grupare de hackeri cunoscută pentru atacurile asupra instituțiilor strategice ale mai multor state. Printre victimele anterioare ale acestor hackeri se numără și Poliția Română, care a fost atacată in martie 2024 și care conform website-ului Killsec au plătit răscumpararea (vezi articol). Gruparea utilizează atacuri de tip ransomware, prin care criptează datele victimelor și solicită o răscumpărare pentru decriptare.

Detaliile breșei de securitate:

• • Data incidentului: Anunțul a fost făcut pe 30 iulie la ora 23:19 pe un canal de Telegram cunoscut ca aparținând grupării Killsec (sursa);

• • Solicitarea: Hackerii cer o răscumpărare de 5.000 25.000 de euro pentru a NU publica datele sustrase;

• • Date compromise: Aplicații (phpBB), rapoarte, date despre autobuze, utilizatori și baze de date MySql, date din website-ul principal stb.ro;

• • Alte posibile victime: Killsec a anunțat că urmează să publice date despre alte două victime, printre care și un spital.

Aceasta situație evidențiază necesitatea unor măsuri de securitate cibernetică mai riguroase și a conștientizării cu privire la securitatea datelor pe care companiile le folosesc și le stochează. Atacurile de tip ransomware sunt din ce în ce mai frecvente și pot avea consecințe grave atât pentru instituții, companii, cât și pentru utilizatori.

Imaginile originale postate pe website-ul Killsec:

Surse

• https://t.me/k1llsec/home/
• https://hackout.ro/grupare-de-hacktivism-ataca-politia-romana/
• http://kill432ltnkqvaqntbalnsgojqqs2wz4lhnamrqjg66tq6fuvcztilyd.onion/post/ejinh5gGi4Ewa9847Uv527Nxu.php
• https://www.redhotcyber.com/en/post/killsec-announces-new-ransomware-as-a-service-raas-platform/

The post STB atacată de hackeri. Killsec cere o răscumpărare de 25.000 EUR first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

Deși costurile inițiale ale unui atac, cum ar fi plata răscumpărării sau recuperarea datelor, sunt evidente, impactul financiar complet poate fi mult mai profund. Iată o analiză detaliată a costurilor ascunse și a impactului atacurilor cibernetice, împreună cu exemple relevante și sfaturi pentru a preveni astfel de incidente.

Statistici Cheie

• Cost global al criminalității cibernetice: Estimat să ajungă la 10,5 trilioane USD anual până în 2025 (Cybersecurity Ventures).
• Costuri de recuperare: În medie, companiile cheltuie aproximativ 60% din bugetul de securitate cibernetică pentru a remedia și a recupera după un atac.
• Pierderea de oportunități de afaceri: Peste 70% dintre companiile afectate raportează pierderi de oportunități din cauza alocării resurselor pentru a gestiona atacul.
• Impact asupra reputației: Mai mult de 90% dintre companiile afectate raportează o scădere a încrederii clienților și partenerilor de afaceri.

Pierderi Financiare Directe

Atacurile cibernetice pot cauza pierderi financiare directe semnificative. Acestea includ pierderi de venituri, costuri de recuperare a datelor și pierderi de capital.

• Exemplu: În 2017, atacul ransomware WannaCry a afectat companii din întreaga lume, inclusiv NHS din Marea Britanie, costurile de recuperare fiind estimate la sute de milioane de dolari.

Costuri de Recuperare și Remediere

Companiile trebuie să investească masiv în remedierea și recuperarea după un atac. Aceste costuri includ angajarea de experți în securitate cibernetică, investigații forensice și actualizări ale infrastructurii IT.

• Exemplu: Atacul asupra companiei Maersk din 2017 a necesitat reinstalarea a 4,000 de servere și 45,000 de PC-uri, costurile totale fiind estimate la 300 de milioane USD.

Pierderi de Oportunități de Afaceri

Atacurile cibernetice pot redirecționa resursele de la activitățile de bază și dezvoltarea afacerii către gestionarea incidentelor, ceea ce duce la pierderi de oportunități de afaceri.

• Exemplu: Compania de credit Equifax a pierdut multiple contracte și parteneriate în urma atacului cibernetic din 2017 care a expus datele personale a 147 milioane de persoane.

Impact asupra Reputației și Încrederii

Un atac cibernetic poate afecta serios reputația unei companii și încrederea clienților și partenerilor săi. Recuperarea reputației poate fi un proces lung și costisitor.

• Exemplu: Yahoo a suferit o pierdere masivă de încredere și o scădere a valorii companiei după ce s-a descoperit că a ascuns două atacuri cibernetice majore care au compromis datele a peste 3 miliarde de utilizatori.

Costuri Juridice și de Conformitate

Companiile pot fi supuse unor amenzi substanțiale și costuri legale mari dacă nu respectă reglementările de securitate cibernetică. Costurile pot include și litigii și compensarea victimelor.

• Exemplu: British Airways a fost amendată cu 183 milioane GBP pentru încălcarea GDPR după un atac cibernetic în 2018 care a afectat datele a aproximativ 500,000 de clienți.

Amenzi și Prime de Asigurare Mai Mari

Atacurile cibernetice pot duce la creșterea primelor de asigurare și amenzi pentru neconformitate cu reglementările privind confidențialitatea.

• Exemplu: În urma unui atac cibernetic, compania Target a fost de acord să plătească 18.5 milioane USD pentru a rezolva anchetele și litigiile cu statele americane, iar primele de asigurare au crescut considerabil.

Cum Să Te Protejezi

Investiții în Tehnologie și Securitate

• Actualizări regulate: Asigurați-vă că toate sistemele și software-urile sunt actualizate pentru a repara vulnerabilitățile cunoscute.
• Tehnologie de ultimă generație: Investiți în tehnologii avansate de securitate, cum ar fi soluții de detectare și răspuns la amenințări (EDR) și firewall-uri de ultimă generație.

Educația Angajaților

• Training regulat: Educați angajații despre importanța practicilor de securitate cibernetică și despre cum să recunoască și să evite phishing-ul și alte atacuri.
• Simulări de atacuri: Efectuați simulări periodice de atacuri pentru a testa și îmbunătăți pregătirea angajaților.

Planuri de Răspuns la Incidente

• Planuri clare: Dezvoltați și mențineți un plan de răspuns la incidente cibernetice clar și detaliat.
• Echipe dedicate: Formați echipe dedicate pentru răspuns la incidente, inclusiv experți în securitate cibernetică și comunicare de criză.

Concluzie

Combaterea atacurilor cibernetice necesită o abordare multifronală și colaborativă. Prin investiții în securitate, educarea angajaților și implementarea unor planuri robuste de răspuns la incidente, companiile pot minimiza riscurile și impactul atacurilor cibernetice. Până la urmă, prevenirea este întotdeauna mai ieftină și mai eficientă decât remedierea.

Resurse suplimentare:

• https://cybersecurityventures.com/cybercrime-damage-costs-10-trillion-by-2025/
• https://www.ibm.com/reports/data-breach
• https://digital-strategy.ec.europa.eu/en/policies/cybersecurity-policies

The post Costurile ascunse ale atacurilor cibernetice: Impactul financiar neașteptat pentru companii first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

The post Spitalele din România afectate de ransomware first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

Libra Bank, noua imagine unei campanii de phishing

Campanile de phishing au fost și vor fi mereu un risc la adresa tuturor, dat fiind faptul că fiecare dintr noi utilizăm servicii online pentru a ne face viata mai ușoara. Actorii malițioși folosesc imaginea mai multor instituții sau entități pentru a folosi vulnerabilitatea umana în atragerea de beneficii financiare ilicite.

În ultima perioadă băncile au fost imaginea unor campanii de phishing, printre care și cea mai nouă imagine în aceste campanii este Banca Libra. Precum în cazurile anterioare și cu indicatorii cu care v-am obișnuit să detectăm aceste tentative de phishing, atacatorii se folosesc de un mesaj cu titlu de urgență prin care vor să atragă victimele în a-și trimite datele bancare care să fie stocate în servere malițioase și folosite de atacator.

Principalele adrese de email malitioase raportate sunt:

• dm-noreply@promote.weebly.com
• sgyflw504@tmail2.org
• ralf.mihail@dry3ducks.com

Acestă campanie de phishing se bazează că victimele se vor speria de aceasta ”notificare de securitate”, fiind ceva mai puțin comun, dacă este să comparăm aceste mesaje cu celelalte campanii de phishing prezentate anterior. De asemena nota de subsol în care sunt specificate drepturile de autor, vrea să ofere o nunanță de incredere acestui mesaj odată cu colorile și modul de aranjare pentru a-l face să semene cât mai mult cu mesajul original, respectiv a atrage cât mai multe victime în accesarea linkului și trimiterea datelor spre atacator.

Bancile CEC Bank si OTP Bank sunt imaginea unui atac de phishing în România

Campanile de phishing care iau imagina diferitor banci sunt destul de frecvent înâlnite, nu doar în România, ci și în intreaga lume. În acest articol ne refierim la campanile de phishing în care atacatorii folosesc mailuri malițioase care arată din ce în ce mai aproape de adevăr. Este vorba de mailuri de phishing cu imaginile bancilor OTP și CEC bank.

Cele mai des folosite adrese de email de pe care se trimit astfel de mailuri de phishing sunt:

• mattilat@yahoo.com
• no_reply@adamedclinic.ro
• www-data@otpinfo.tomstattoo.ro

Mesajul malițios gandit de atacatori prin tehnici de inginerie socială, atenționează victimele asupra unor operațiuni în ceea ce privește datele personale sau măsur de protecție suplimentare ale acestore. Atacatorul instruiește victimele spre un buton special creat, care redirecționează victimele spre un site malițios unde se realizează schimbul de date cu atacatorul. Cele mai frecvente site-uti malițioase folosite sunt:

• www.283.it/jdidj
• https://app.follieeventi.it/i/c/
• https://ateliergen.sakura.ne.jp/as

Campanile de phishing din ultima perioadă folosesc mesaje din ce în ce mai aproape de adevăr, cum sunt cele prezentate mai sus, totuși sunt diferiți indici prin care putem să detectăm un mail de phishing:

• adresele de mail deobicei sunt primul indice care indică caracterul malițios al mesajului
• Mesajele scurte cu titlu de urgență sau un motiv care nu poate aștepta cu scopul de-a atrage victimele în apasare butonului care face trimitere la link-ul malițios.
• Lipsa unei semnături oficiale – deobicei orice companie are o semnătură pe care aceasta o folosește în mailurile oficiale către clienți. Chiar daca în mailul CEC bank avem acea frază de copyright, semnătura oficială nu este prezentă.

SMS malițioase vizează clienții ING și BCR

Într-o nouă campanie de phishing, de data asta prin sms, vizează clienții ING și BCR cu mesaje phishing prin care se urmărește obținerea datelor bancare ale victimelor.

Campanie funcționează prin trimiterea unor mesaje sms cu linkuri malițioase victimelor, principalele numere de telefon malițioase de pe care au fost raportate astfel de înșelătorii sunt:

• 0748706477
• 0754870249
• 0792065761

Victimele primesc mesaje cu titlul de urgență care fie vizează actualizarea de date, fie tranzacții frauduroase false. Prin inginerie socială atacatorii urmăresc să atragă victimele în link-ul oferit în mesaj. Site-ul malițios, în prezent blocat, are rolul de-a realiza schimbul de date bancare.

În unele cazuri datele bancare pot fi folosite și în alte scopuri, decât cele de-a extrage sume de bani. Pe dark web există platforme unde se pot vinde date bancare, astfel atacatorii pot alege să devină vânzători și să evite folosirea datelor bancare sustrase.

Campaniile de phishing, mai ales în cazuri sms-urilor, pare să fie aleasă din ce în ce mai des de atacatori, detectarea unui număr aferent unei cartele este aproape imposibilă. Ceea ce este de notat este site-ul și mesajul malițios care sunt ingrijorător de aproape de adevăr.

Echipa Hackout face următoarele recomandări în cazuri acestor atacuri:

• Înainte să vă grăbiți în accesare link-ului, verificați contul bancar pentru a vedea daca suma precizată în mesaj este într-adevăr o tranzacție frauduroasă.
• Contactați banca pentru a valida mesajul, în general bancile nu trimit mesaje sms cu link-uri.
• Numerele de telefon de pe care este posibil să fiți contactați de banca sunt numere scurte (de exemplu 1887), prin urmare numerele convenționale cu acest tip de mesaje ar trebui să vă ridice un semn de întrebare.

Concluzii

Campanile de phishing cresc progresiv în perioada următoare, dat fiind faptul că perioada concedilor a trecut și urmează perioada sărbătorilor de iarna, atacatorii vor începe să lanseze din ce în ce mai multe atacuri în perioada următoare.

În sezonul de sărbători atacatorii vor veni cu metode din ce în ce mai diverse și mai ingenioase pentru a atrage victimele în capcanele lor financiare și a-și maximiza câștigurile. Totodată cu ajutorul echipei Hackout și a fiecărei raportare care o primim prin intermediul acestei platforme, vom reuși să ne menținem la curent cu următoarele trenduri în materie de securitate cibernetică și protecția datelor.

Echipa Hackout încurajază cetățenii României să raporteze aceste tipuri de atacuri, în felul acesta vom reuși să distribuim informări prin care să prevenim numărul de victime în cazuri acestor campanii și să educăm în domeniu securității cibernetice un număr cât mai mare de persoane.

Prevenirea este cea mai buna metode pentru a combate campanile de phishing, o educație elementară în ceea ce privește securitatea cibernetica a ficăruia dintre noi ar duce la un mediu online mai sigur, dar tot odată la o creștere proporțională a eficienței cu care autorii malițioși vor încerca să lanseze alte campanii. În cursa pentru siguranță cibernetică prevenirea și atacurile cibernetice sunt ca un joc de șah, în care cel mai bine pregatit jucător câștigă.

The post Campanii de phishing care folosesc malitios imaginea unor bănci din România first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

Rețele de socializare sunt platforme folosite de toată lumea, devenind o parte din identitatea persoanei fizice sau chiar juridice, în spațiul virtual. Rapididatea cu care se distribuie informația pe rețelele de socializare aproprie userii din toată lumea asupra diferitor subiecte în trend. Multe afaceri folosesc rețelele de socializare în scopuri de marketing și promovări de afaceri prin conturi bussiness.

Tehnologia este o piață liberă, spațiul cibernetic neavând frontiere, deseori specialiști îl numesc ”Wild Space”(spațiu sălbatic), dat fiind faptul că odată cu toate beneficile de care ne bucurăm folosind internetul, actorii malițioși văd acest spațiu liber ca pe o oportunitate pentru câștiguri ilicite.

La inceputul anului 2023, Meta (compania care este liderul de piața rețelelor de socializare fiind compania care a conceput Facebook pe care cu totii il folosim azi, impreuna cu Instagram) a descoperit o campanie de phishing în care autorii folosesc un malware prin care doresc să fure datele utilizatorilor.

Conform BitDefender, NodeStealer este un malware care fură informațiile din cookies, informații ce pot permite autentificarea pe paltformele sociale. Acestă campanie de phishing are ca țintă infectarea conturilor de Facebook Bussiness (Paginile companiilor) ca apoi să pivoteze atacul către persoanele ce urmăresc paginile respective.

Meta a luptat cu această amenințare la adresa utilizatorilor săi, însă autorii acestei campanii au făcut mai multe update-uri la acest malware, devenind din ce în ce mai agresivi. În prima etapă acest malware era capabil doar să fure datele cookie și cu acestea hackerii intrau în contul victimei și preluau controlul acestuia prin schimbarea datelor de autentificare.

În prezent această campanie s-a extins, NodeStealer fiind acum capabil, pe lângă furtul de credențiale de logare, să treacă și peste MFA (autentificare în mai mulți pași) și astfel să distribuie mesaje și postări malițioase exitânzând campania la cât mai mulți utilizatori cu putință.

Cum funcționează această campanie?

Autorii malițioși creează mai multe profiluri false de Facebook prin care trimit mesaje către utlizatori în care includ linkuri către o arhiva zip. În interiorul acesteia există un fișier .exe, odată executat acest fișier de către utilizator, NodeStealer pătrunde în system și primul pas este să verifice dacă contul de Facebook este de tip bussiness sau nu, după care fură datele cookie folosite pentru logare și astfel atacatorul preia controlul contului de Facebook, chiar dacă nu este bussiness. De aici și două ramificații ale campaniei:

1. 1. În cazul în care contul Facebook este bussiness: NodeStealer va comrpomite contul în intregime și va distribui postări malițioase. Aceste postări au adesea conținut pornografic menit să atragă bărbații folosind titluri de tipul ”Grăbește-te și descarcă acest album!”. Autorii vor schimba postările odată la maxim 24 de ore pentru a evita să fie detectați de sistem. Odată ce utilizatorul descarcă și execută acest album(fișier executabil), contul de Facebook va fi compromis.

1. 1. În cazul în care contul de Facebook este personal: Nodestealer va prelua controlul contului și va da mesaje tuturor celor din lista de prieteni. Mesajul conține tot un virus – NodeStealer. Astfel atacatorii propagă virusul mai departe pentru a detecta conturi bussiness.

Mai sus este reprezentat unul dintre mesajele malițioase trimise de pe un cont Facebook compromis. După acceptul victimei de a oferi ajutor, urmează mesajul cu link-ul către fișierul malițios care va urma să compromită contul de Facebook al victimei.

Pericolele acestui malware

Ceea ce face acest malware să fie periculos este greutatea cu care acesta poate fi dedectat de către programele de tip antivirus, fiind conceput să se ascundă cu succes de sistemele de apărare informatice. Capacitatea lui de a extrage informații care să fie stocate pe un server ales de atacator este de temut, efectele extragerii acestei informație poate să ducă la o multitudine de atacuri, printre care Credential stuffing.

Finalitatea acestui atac este bineînteles atragerea de interese financiar, în special în cazul conturilor de Facebook Bussiness în care hackerii pot găsi datele bancare.

Cum ne protejăm împotriva acestei amenințări?

În primul rând, nu folosiți aceleași parole pe mai multe platforme. Vă recomandăm să folosiți câte o parola unică pentru fiecare platformă folosită. Pentru a avea parola puternică este recomandat ca aceasta să conțină:

• • cel puțin 16 caractere

• • cel puțin o literă mare

• • cel puțin un număr

• cel puțin un caracter special(” !”#$%&'()*+,-./:;<=>?@[]^_`{|}~”)

O igienă cibernetică corespunzătoare vă crește securitatea în mediul online, fiind mai puțin vulnerabili în fața amenințărilor care apar. Cu o igienă cibernetică corespunzătoare și o educație minimă în acest domeniu suntem mai protejați în mediul online

Echipa Hackout vă încurajează să raportați aceste incidente pe platforma noastră la secțiunea Raportează.

The post NodeStealer: Cum funcționează un malware propagat prin rețelele sociale first appeared on Hackout | Portalul Atacurilor Cibernetice din România.

Se pare că atacatorii preferă aceste tipuri de atacuri phishing care impersonează o entitate economică cu scopul sustragerii datelor bancare ale cetățenilor României. Acest timp de inginerie socială prin care atacatorul urmărește să obțină increderea victimei prin impresonarea unei surse legitime sunt des întâlnite în atacurile phishing.

Entitățiile economice preferate de atacatori sunt cele cu un număr foarte mare de utilizatori, astfel numărul victimelor care dau curs acestor atacuri să fie cât mai mare. Disney+ este o platformă similară cu Netflix, atacatorii considerând ca victimele care utilizează Disney+ ar putea fi mai vulnerabile atacurilor phsihing. Probabil pentru că în 2022 o campanie de phishing adresată cliențiilor Netflix a fost lansată, prin urmare utilizatorii aveau deja un grad mai mare de vigilență și atacurile nu ar fi un succes la fel de mare.

Aceste e-mailuri erau primite de clienții Netflix în anul 2022

În cazul campaniei actuale de phishing victimelor li se cere actualizarea datelor bancare pentru ca utilizatorii să aibă o presupusă experiență placută pe platforma Disney+. Victimelor li se oferă un link unde, după accesarea acestuia, ajung pe un site în care se realizază sustragerea datelor bancare în serverul atacatorului.

Se pare că atacatorii au folosit platforma SurveyMonkey în aceste atacuri, e-mailurile fiind trimise de pe contul creat pe această platformă. Această metodă este folosită pentru a crea o adresă de e-mail cât mai de încredere, evitând clasica adresă de e-mail cum am vazut în cazul celorlalte atacuri (de exemplu: f4546sdsmiomkww@yahoo.com).

Totodată victima nu este redirecționată către link-ul malițios în mod direct, ci folosind platforma SurveyMonkey, victima trebuie să acceseze un al doilea link după navigarea pe linku-ul din e-mail care îi duce pe platfoma SurveyMonkey. Atacatorii au dorit să își ia masuri de siguranță pentru a crește succesul campaniei de phishing.

E-mailurile folosite în aceste atacuri sunt următoarele:

• echipa@billingdinsey.com via SurveyMonkey
• clientiiservuciilor@rodinseyapp.com via SurveyMonkey

Platforma SurveyMonkey a detectat aceste atacuri și a luat masurile de securitate necesare, ceea ce poate însemna că e-mailurile vor fi diferite în funcție de atac, ceea ce este de ținut cont este adresa de e-mail care este aferentă SurveyMonkey precum în adresele indicate mai sus.

The post Campanie de phishing care vizează utilizatorii Disney+ first appeared on Hackout | Portalul Atacurilor Cibernetice din România.