کارشناسان تاکتیک تغییر مسیر چندلایه برای سرقت اعتبارنامه‌های ورود Microsoft 365 را شناسایی کردند

محققان امنیت سایبری جزئیات کمپین فیشینگ جدیدی را فاش کرده‌اند که با سوءاستفاده از سرویس‌های پیچیدن لینک (link wrapping) شرکت‌های Proofpoint و Intermedia، بارهای مخرب را پنهان کرده و از دفاع‌های امنیتی عبور می‌کند. تیم امنیت ایمیل Cloudflare اعلام کرد که این حملات طی دو ماه گذشته مشاهده شده و مهاجمان با دستیابی غیرمجاز به حساب‌های ایمیل سازمان‌هایی که از این ویژگی استفاده می‌کنند، لینک‌های مخرب را به صورت خودکار در قالب آدرس‌های معتبر urldefense.proofpoint بازنویسی می‌کنند.

این کمپین‌ها از تکنیک “سوءاستفاده از تغییرمسیر چندمرحله‌ای” (multi-tiered redirect abuse) استفاده می‌کنند که در آن مهاجمان ابتدا لینک‌های مخرب را با سرویس‌های کوتاه‌کننده URL مانند Bitly پنهان کرده، سپس آن‌ها را از طریق حساب‌های محافظت‌شده Proofpoint ارسال می‌کنند تا دو بار مبهم شوند. این حملات معمولاً به شکل اعلان‌های پیام صوتی، اطلاعیه‌های دریافت سند در Microsoft Teams یا پیام‌های خوانده‌نشده Teams ظاهر شده و قربانیان را به صفحات فیشینگ جعلی Microsoft 365 هدایت می‌کنند. Proofpoint تأیید کرد که از این تکنیک آگاه بوده و آن را از طریق موتور تشخیص هوش مصنوعی رفتاری خود شناسایی می‌کند.