Motywowany finansowo aktor zagrożeń znany jako GS7 prowadzi na dużą skalę kampanię phishingową wymierzoną w firmy z listy Fortune 500 — wykorzystując idealne co do piksela kopie legalnych portali logowania do kradzieży danych uwierzytelniających.
Kampania, aktywna od grudnia, dotyka duże instytucje finansowe, firmy technologiczne, dostawców usług opieki zdrowotnej i firmy telekomunikacyjne w USA i Europie.
Co się dzieje?
🔐 Portale phishingowe wiernie odwzorowujące marki
GS7 rejestruje setki domen łudząco podobnych do oryginalnych i replikuje oficjalne strony logowania z niemal doskonałą precyzją.
🌍 Masowa infrastruktura domen
Niedawno zarejestrowano ponad 150 złośliwych domen, a ruch jest kierowany przez Cloudflare, aby ukryć serwery zaplecza.
📲 Eksfiltracja danych uwierzytelniających w czasie rzeczywistym
Skradzione nazwy użytkowników, hasła, dane IP, odciski urządzeń i szczegóły geolokalizacji są natychmiast wysyłane do botów Telegrama.
🖥️ Dostęp po przejęciu
Ofiary mogą nieświadomie pobrać narzędzia RMM, umożliwiając utrzymanie dostępu lub jego odsprzedaż grupom ransomware.
Dlaczego to niepokojące
To nie jest phishing typu „spray and pray”.
To wysoce ustrukturyzowana, wymagająca rozbudowanej infrastruktury działalność, prawdopodobnie powiązana z działalnością brokerów początkowego dostępu (Initial Access Broker, IAB).
GS7 może nie być ostatecznym napastnikiem — tylko tym, który sprzedaje drzwi.
Wnioski dla obrońców
• Wymuszaj MFA odporne na phishing
• Monitoruj domeny łudząco podobne do oryginalnych
• Ograniczaj nieautoryzowane wdrożenia narzędzi RMM
• Weryfikuj adresy URL logowania do usług finansowych bezpośrednio (unikaj linków z e-maili)
• Korzystaj z kanałów IoC, jeśli są dostępne
Phishing nie staje się głośniejszy.
Staje się coraz bardziej precyzyjny.
