Starkiller: Yeni fişinq kampaniyası çoxfaktorlu autentifikasiyanı (MFA) bypass edir

Kibertəhlükəsizlik analitiklərinin xəbərdarlığına görə yeni aşkar edilmiş fişinq kampaniyası kibercinayətkarlara canlı login səhifələrini təqlid edən və çox faktorlu autentifikasiya (multi-factor authentication, MFA) mexanizmlərindən yan keçən toolkit vasitəsilə istifadəçi adı və şifrələri ələ keçirməyə imkan verir. Starkiller adı verilmiş fişinq platforması tədqiqatçılar tərəfindən ətraflı şəkildə sənədləşdirilmiş və “kommersiya dərəcəli kibercinayət platforması” kimi qiymətləndirilmişdir. Alət “dark web” üzərindən software-as-a-service (SaaS) məhsulu kimi yayılır və bu model çərçivəsində abunəlik mexanizmi, mütəmadi yeniləmələr və müştəri dəstəyi təqdim olunur.

Starkiller’i diqqətəlayiq edən əsas cəhət onun bir çox digər fişinq kampaniyalarından fərqlənən yanaşma tətbiq etməsidir. Fişinq kampaniyalarının əksəriyyəti hücumçuların təqlid etmək istədiyi giriş səhifəsinin statik HTML klonlarına əsaslanır. Lakin Starkiller’də fişinq saytı hücumçuların nəzarətində olan infrastruktur tərəfindən idarə edilən proksi vasitəsilə işə salınır və şablon kimi istifadə olunan real giriş portalından praktiki olaraq fərqləndirilmir.

Tədqiqatçılar bildiriblər ki, istifadəçilər orijinal səhifə məzmununu birbaşa hücumçunun infrastrukturu üzərindən əldə edir və bu, fişinq səhifəsinin heç vaxt köhnəlməməsini təmin edir. Bundan əlavə, Starkiller real saytı canlı rejimdə proksi etdiyi üçün təhlükəsizlik vendorlarının identifikasiya etməsi və ya blocklist’ə əlavə etməsi üçün istifadə oluna biləcək hər hansı şablon faylları mövcud olmur. Proksi headless Chrome instansiyası üzərindən işə salınır və istifadəçidə şübhə yaranması üçün ümumiyyətlə heç bir əsas qoymur. Bununla belə, sözügedən infrastruktur səbəbindən daxil edilən kimlik məlumatları birbaşa hücumçulara ötürülür.

Starkiller kampaniyası hücumçulara Google, Microsoft, Facebook, Apple, Amazon, Netflix, PayPal, müxtəlif banklar və çoxsaylı digər onlayn xidmətləri təqlid etmək imkanı yaradır. Alət vizual baxımdan legitim domeni xatırladan aldadıcı URL formalaşdırır və trafiki hücumçunun infrastrukturu üzərindən yönləndirir. Bundan əlavə, Starkiller kibercinayətkarlara real vaxt rejimində sessiya monitorinqi funksionallığı təqdim edərək hədəfin fişinq səhifəsi ilə canlı qarşılıqlı əlaqəsini izləməyə imkan verir və eyni zamanda qurbanın daxil etdiyi istənilən məlumatı ələ keçirmək üçün keylogger’dən istifadəni təmin edir.

Starkiller’in MFA bypass mexanizmi

Starkiller’in quruluş prinsipi ona MFA-nı yan keçməyə imkan verir. Bunun əsas səbəbi ondan ibarətdir ki, hədəf istifadəçi proksi vasitəsilə real saytla autentifikasiya prosesini həyata keçirir. Nəticə etibarilə, istifadəçinin daxil etdiyi istənilən birdəfəlik kodlar (OTP) və ya autentifikasiya tokenləri real vaxt rejimində legitim xidmətə ötürülür və bu, hücumçuların hesaba birbaşa giriş əldə etməsi üçün şərait yaradır.

Tədqiqatçıların məlumatına əsasən Starkiller hücumlarının yayılmasının ən ehtimal olunan üsulu Google və Microsoft kimi xidmət təminatçılarının legitim xəbərdarlıq və bildiriş mesajlarını təqlid edən fişinq e-poçtları vasitəsilə həyata keçirilir. Toolkit aylıq ödəniş əsasında abunəlik əsaslı (subscription-based) model ilə satılır. Bu isə istifadəçilərə platforma üzrə mütəmadi yeniləmələrin təqdim edilməsini və Telegram üzərindən helpdesk dəstəyinin göstərilməsini nəzərdə tutur.

Tədqiqatçılar xəbərdarlıq ediblər ki, davamlı inkişaf səviyyəsi Starkiller’in zaman keçdikcə aşkarlanmasını və ona qarşı müdafiə tədbirlərinin tətbiqini daha da çətinləşdirəcək. Starkiller tərəfindən icra olunan hücumlara qarşı təşkilatlara müdafiə məqsədilə gözlənilməz mənbələrdən müşahidə olunan anomal login nümunələrinin, eləcə də session token reuse hallarının izlənilməsi tövsiyə olunur.