Phishers abusano di infrastrutture cloud legittime per bypassare l’autenticazione a due fattori

Phishers stanno sfruttando sempre più le infrastrutture cloud legittime per bypassare l’autenticazione a due fattori (MFA) e lanciare attacchi di phishing complessi. Negli ultimi 12 mesi, i team di sicurezza hanno osservato un aumento significativo di attacchi di phishing ospitati su servizi come Cloudflare Workers, Vercel, Netlify, GitHub Pages e IPFS gateways. Questi servizi, apprezzati dagli sviluppatori e dagli utenti, vengono utilizzati dagli attori minacciosi per ospitare pagine di phishing che mimano servizi legittimi, rendendoli difficili da rilevare e bloccare. Gli attacchi spesso coinvolgono tecniche multi-step di adversary-in-the-middle (AitM), permettendo agli attaccanti di intercettare le credenziali e i token di sessione senza attivare allarmi tradizionali di sicurezza.

Cloud come rifugio sicuro per i phishers

Gli attori minacciosi sfruttano l’implicita fiducia e la reputazione delle infrastrutture cloud legittime per ospitare contenuti di phishing. Servizi come Cloudflare Workers e GitHub Pages offrono piani gratuiti, certificati SSL automatici e CDN globali, rendendoli attrattivi per gli attaccanti. L’accesso rapido e la mancanza di verifiche di identità rigorose permettono agli attaccanti di creare centinaia di account maliciosi. Questo consente loro di ospitare pagine di phishing che sembrano legittime, riducendo la sospensione da parte dei potenziali vittime.

Le infrastrutture cloud legittime sono sfruttate per ospitare pagine di phishing che mimano servizi veri.

Un attacco tipico inizia con un’email di phishing che utilizza un pretesto plausibile, come una richiesta da un collega per revisionare documenti, per indurre la vittima a cliccare su un link malizioso. Al clic, l’utente viene reindirizzato a una pagina finta di CAPTCHA ospitata su un sito compromesso. Questa pagina agisce come un relay temporaneo, aiutando a bypassare i meccanismi di rilevamento iniziali. L’indirizzo email della vittima è incorporato nel hash dell’URL, permettendo alla pagina ospitata su un sottodominio di workers.dev di estrarre l’email senza richiedere un accesso al server dell’attaccante, evitando così il rilevamento.

Interceptazione delle credenziali e spoofing del browser

Nella seconda fase, il browser carica una pagina su [REDACTED].workers.dev con l’email della vittima nel hash dell’URL. La pagina presenta un vero challenge CAPTCHA per garantire che l’utente non sia un bot. Dopo il completamento, un service worker viene registrato nel browser, in grado di intercettare tutte le richieste di rete e reindirizzarle attraverso un proxy controllato dall’attaccante. Questo permette agli attaccanti di catturare le credenziali e i token di sessione, bypassando l’autenticazione a due fattori.

Il service worker intercetta le richieste e reindirizza il traffico attraverso un proxy controllato.

Nella terza fase, l’attacco si conclude con l’interceptazione della sessione e il spoofing del browser. Gli attaccanti utilizzano una tecnica chiamata browser-in-the-browser (BitB) per generare un pop-up che imita un browser nativo, completo di barra d’indirizzo finta che mostra un URL di Microsoft legittimo. All’interno di questa finestra simulata, un iframe carica l’interfaccia di login autentica, reindirizzata dinamicamente attraverso il proxy creato nella fase precedente. Quando la vittima inserisce le credenziali e il codice MFA, il script proxy intercetta entrambi, concedendo all’attaccante l’accesso completo al conto della vittima.

La combinazione di AitM e BitB aumenta significativamente il rischio. Il BitB offre un wrapper visivo convincente, mentre il proxy AitM gestisce l’intercettazione del traffico e la hijacking della sessione in modo nascosto. Dopo il login, il proxy istruisce l’interfaccia a chiudere il pop-up e reindirizzare la vittima a una pagina di errore generico, come SessionExpired. Questo minimizza la sospensione, poiché la vittima assume un problema tecnico e tenta di loggarsi nuovamente, senza rendersi conto che l’attaccante ha già accesso completo alla sessione. I team di sicurezza affrontano sfide significative nel blocco di questi attacchi a causa dell’ampia utilizzazione legittima di domini come github.io e della persistenza del contenuto di phishing attraverso nodi alternativi. Le tradizionali misure di sicurezza, come l’uso di iconi HTTPS o liste di dominio basate sulla reputazione, non sono sufficienti contro questi attacchi sofisticati. È necessario adottare un approccio a strati, come l’analisi attenta degli URL e delle interfacce CAPTCHA, per mitigare i rischi derivanti da questi attacchi evoluti.