'Bild-i-bild' obfuscation parodier Delta, Kohl's for Credential Harvesting

Hackare vänder sig till obfuskeringstaktik som förlitar sig på glansiga reklamfoton från Delta Airlines och återförsäljaren Kohl's, vilket lurar användare att besöka webbplatser för insamling av uppgifter och ge upp personlig information.

A senaste kampanjen analyserad av Avanan visade hur hotaktörer döljer skadliga länkar bakom övertygande foton som erbjuder presentkort och lojalitetsprogram från sådana pålitliga varumärken. Mer allmänt är kampanjen en del av en större trend av cyberskurkar som uppdaterar gamla taktiker med nya verktyg – som AI – som gör nätfiske mer övertygande.

Avanan-forskare, som kallade obfuskeringstekniken "bild i bild", noterade att cyberbrottslingarna bakom attackerna helt enkelt länkar marknadsföringsbilderna till skadliga webbadresser. Detta ska inte förväxlas med steganografi, som kodar skadliga nyttolaster på pixelnivå i en bild.

Jeremy Fuchs, cybersäkerhetsforskare och analytiker på Avanan, konstaterar det steganografi är ofta superkomplicerad, och "det här är ett mycket enklare sätt att göra saker som fortfarande kan ha samma effekt och som är lättare för hackare att replikera i skala."

Företags URL-filter hindras av bildobfuskation

Även om det är enkelt, gör bild-i-bild-metoden det svårare för URL-filter att ta upp hotet, noterade Avanan-forskare.

"[E-postmeddelandet kommer] att se rent ut [för filter] om de inte skannar i bilden," enligt analysen. "Ofta länkar hackare gärna en fil, bild eller QR-kod till något skadligt. Du kan se den sanna avsikten genom att använda OCR för att konvertera bilderna till text eller tolka QR-koder och avkoda dem. Men många säkerhetstjänster gör inte eller kan inte göra detta.”

Fuchs förklarar att den andra viktiga fördelen med tillvägagångssättet är att göra illviljan mindre uppenbar för mål.

"Genom att koppla in social ingenjörskonst till förvirring kan du potentiellt ge slutanvändarna något mycket frestande att klicka på och agera på", säger han och lägger till varningen att om användare håller muspekaren över bilden är URL-länken uppenbarligen inte relaterad till det falska varumärket. "Denna attack är ganska sofistikerad, även om hackaren förmodligen förlorar poäng genom att inte använda en mer original URL," sa han.

Även om nätfisken sprider ett brett konsumentnät, bör företag vara medvetna om att kommunikationen från flygbolagens lojalitetsprogram ofta går till företagens inkorgar; och i distansarbetets ålder, många anställda använder personliga enheter för företag eller åtkomst till personliga tjänster (som Gmail) på företagsutgivna bärbara datorer.

"När det gäller påverkan var [kampanjen] riktad till ett stort antal kunder, i flera regioner," tillägger Fuchs. "Även om det är svårt att veta vem förövaren är, kan sådana här saker ofta enkelt laddas ner som färdiga kit."

Använder Gen AI för att uppdatera gamla taktiker

Fuchs säger att kampanjen passar in i en av de framväxande trenderna i nätfiskelandskapet: parodier som nästan inte går att skilja från legitima versioner. Framöver kommer användningen av generativ AI (som ChatGPT) för att underlätta fördunklingstaktik när det kommer till bildbaserade nätfiskeattacker bara göra dessa svårare att upptäcka, tillägger han.

"Det är superenkelt med generativ AI", säger han. "De kan använda det för att snabbt utveckla realistiska bilder av välbekanta varumärken eller tjänster och göra det i stor skala och utan någon design- eller kodningskunskap."

Till exempel, genom att bara använda ChatGPT-uppmaningar, en Forcepoint-forskare nyligen övertygad AI:n för att bygga oupptäckbar steganografisk skadlig kod, trots dess direktiv att avslå skadliga förfrågningar.

Phil Neray, vice vd för cyberförsvarsstrategi på CardinalOps, säger att AI-trenden växer.

"Det som är nytt är den sofistikerade nivån som nu kan tillämpas för att få dessa e-postmeddelanden att verka nästan identiska med e-postmeddelanden du skulle få från ett legitimt varumärke", säger han. "Som användningen av AI-genererade deepfakes, AI gör det nu mycket enklare att skapa e-postmeddelanden med samma textinnehåll, ton och bilder som ett legitimt e-postmeddelande."

I allmänhet fördubblar nätfiskare vad Fuchs kallar "förvirring inom legitimitet."

"Vad jag menar med det är att dölja dåliga saker i det som ser ut som bra saker", förklarar han. "Även om vi har sett massor av exempel på förfalskning av legitima tjänster som PayPal, använder detta den mer beprövade versionen, som inkluderar falska, men övertygande bilder."

Utnyttja URL-skydd för att skydda mot dataförlust

De potentiella konsekvenserna av attacken för företag är förlust av pengar och dataförlust, och för att försvara sig bör organisationer först försöka utbilda användare om dessa typer av attacker, och betona vikten av att hålla muspekaren över webbadresser och titta på hela länken innan de klickar.

"Utöver det tycker vi att det är viktigt att utnyttja URL-skydd som använder nätfisketekniker som denna som en indikator på en attack, samt att implementera säkerhet som tittar på alla komponenter i en URL och emulerar sidan bakom den", konstaterar Fuchs.

Alla håller inte med om att befintlig e-postsäkerhet inte klarar uppgiften att fånga sådana nätfiske. Mike Parkin, senior teknisk ingenjör på Vulcan Cyber, noterar att många e-postfilter skulle fånga upp dessa kampanjer och antingen markera det som spam i värsta fall eller flagga det som skadligt.

Han noterar att spammare har använt bilder i stället för text i flera år i hopp om att kringgå spamfilter, och spamfilter har utvecklats för att hantera dem.

"Även om attacken har varit ganska vanlig den senaste tiden, åtminstone om skräpposten i min egen skräppostmapp är någon indikation, är det inte en särskilt sofistikerad attack", tillägger han.

AI-aktiverade attacker kan dock vara en annan historia. CardinalOps Neray säger att det bästa sättet att bekämpa dessa mer avancerade bildbaserade attacker är att använda stora mängder data för att träna AI-baserade algoritmer hur man känner igen falska e-postmeddelanden – genom att analysera innehållet i själva e-postmeddelandena och genom att samla information om hur alla andra användare har interagerat med e-postmeddelandena.

• SEO-drivet innehåll och PR-distribution. Bli förstärkt idag.
• PlatoAiStream. Web3 Data Intelligence. Kunskap förstärkt. Tillgång här.
• Minting the Future med Adryenn Ashley. Tillgång här.
• Köp och sälj aktier i PRE-IPO-företag med PREIPO®. Tillgång här.
• Källa: https://www.darkreading.com/endpoint/picture-in-picture-obfuscation-spoofs-delta-kohls-credential-harvesting