Microsoft avverte di un'operazione di Phishing as a Service su vasta scala

Microsoft ha aperto il coperchio su un'operazione di phishing-as-a-service (PHaaS) su larga scala che è coinvolta nella vendita di kit di phishing e modelli di posta elettronica, nonché nella fornitura di servizi di hosting e automatizzati a basso costo, consentendo così agli attori informatici di acquistare phishing campagne e distribuirle con il minimo sforzo.

"Con oltre 100 modelli di phishing disponibili che imitano marchi e servizi noti, l'operazione BulletProofLink è responsabile di molte delle campagne di phishing che hanno un impatto sulle aziende oggi", ha affermato il team di Microsoft 365 Defender Threat Intelligence in un rapporto di martedì.

"BulletProofLink (indicato anche come BulletProftLink o Anthrax dai suoi operatori in vari siti Web, annunci e altri materiali promozionali) viene utilizzato da più gruppi di aggressori in modelli di business basati su abbonamento una tantum o mensili, creando un flusso di entrate costante per i suoi operatori".

Il gigante della tecnologia ha affermato di aver scoperto l'operazione durante la sua indagine su una campagna di phishing di credenziali che utilizzava il kit di phishing BulletProofLink su siti controllati da aggressori o siti forniti da BulletProofLink come parte del loro servizio. L'esistenza dell'operazione è stata resa pubblica per la prima volta da OSINT Fans nell'ottobre 2020.

Il phishing-as-a-service differisce dai tradizionali kit di phishing in quanto, a differenza di questi ultimi, che vengono venduti come pagamenti una tantum per ottenere l'accesso a pacchetti contenenti modelli di e-mail di phishing pronti per l'uso, sono basati su abbonamento e seguono un modello software-as-a-service, espandendo al tempo stesso le capacità per includere l'hosting del sito integrato, la consegna di e-mail e il furto di credenziali.

Ritenuto attivo almeno dal 2018, BulletProofLink è noto per gestire un portale online per pubblicizzare il proprio set di strumenti fino a $ 800 al mese e consentire alle bande di criminali informatici di registrarsi e pagare per il servizio. I clienti possono anche usufruire di uno sconto del 10% se scelgono di iscriversi alla loro newsletter, per non parlare del pagamento tra $ 80 e $ 100 per modelli di phishing di credenziali che consentono loro di rubare le credenziali inserite da vittime insospettate facendo clic su un URL dannoso nel messaggio di posta elettronica .

Il problema è che le credenziali rubate non vengono inviate solo agli aggressori, ma anche agli operatori BulletProofLink utilizzando una tecnica chiamata "doppio furto" in un modus operandi che rispecchia gli attacchi di doppia estorsione impiegati dalle bande di ransomware.

"Con i kit di phishing, è banale per gli operatori includere una posizione secondaria a cui inviare le credenziali e sperare che l'acquirente del kit di phishing non alteri il codice per rimuoverlo", hanno detto i ricercatori. "Questo è vero per il kit di phishing BulletProofLink, e nei casi in cui gli aggressori che utilizzano il servizio hanno ricevuto credenziali e registri alla fine di una settimana invece di condurre campagne da soli, l'operatore PhaaS ha mantenuto il controllo di tutte le credenziali che rivende".