Nieuwe bedreiging gemeld: InDesign Phishing-webpagina's. Bescherm uw Microsoft 365-codes

De Datto Threat Research Unit heeft onlangs een nieuwe phishingtechniek geanalyseerd waar onze MSP-partners op moeten letten. Hoewel dit type aanval al in het wild voorkomt, werd het voorheen niet als phishingpoging gedetecteerd. Deze techniek bevat twee belangrijke elementen die het voor de meeste beveiligingsoplossingen vrijwel onmogelijk maken om de aanval te detecteren: de aanval maakt gebruik van de reputatie van Adobe InDesign als hostingdienst en de kwaadaardige link is verborgen in een iframe. Nu bevestigd is dat het om een phishingpoging gaat, kunnen we voor het eerst verslag doen van deze techniek en hopelijk toekomstige aanvalspogingen voorkomen. 

De aanval

Net als veel andere phishingaanvallen die erop gericht zijn de gegevens van Microsoft-gebruikers te verzamelen, wordt deze aanval via e-mail verzonden. De e-mail verleidt de gebruiker om op een link te klikken om toegang te krijgen tot een gedeeld document, dat vervolgens leidt naar een legitieme InDesign-webpagina die wordt gehost op indd.adobe.com. Hier zijn een paar voorbeelden van zulke pagina's:

In de bovenstaande schermafbeeldingen bevatten de knoppen "Document openen" en "PDF online weergeven" een link naar een phishingsite die vraagt om de Microsoft-gegevens van het slachtoffer om toegang te krijgen tot het document, dat er als volgt uitziet:

In tegenstelling tot de eerste indd.adobe.com pagina die de aanvallers vele dagen online kunnen houden omdat het geen argwaan wekt, moet deze URL regelmatig veranderen omdat het gehost wordt in een minder gerenommeerd domein en geïdentificeerd kan worden als een phishing webpagina.

De aanvalstechniek

Om beveiligingsoplossingen voor e-mail te omzeilen, maakten de aanvallers gebruik van het legitieme Adobe InDesign-platform:

1. Het indd.adobe.com domein is een vertrouwd publiek domein. Veel op reputatie gebaseerde beveiligingsoplossingen zouden URL's die naar dit domein leiden niet scannen of zouden deze scannen en concluderen dat het veilig is, omdat de indd.adobe.com URL legitiem is, niets verdachts aangeeft en niet om referenties vraagt. Het hosten van phishing webpagina's in vertrouwde publieke domeinen zoals GoogleDrive, SharePoint, OneDrive en Dropbox is een bekende truc. Dit is echter de eerste keer dat het InDesign-domein wordt gebruikt.
2. De webpagina is ontworpen met InDesign, dat een aantal specifieke kenmerken heeft die door de kwaadwillenden werden gebruikt om beveiligingsoplossingen te omzeilen. De belangrijkste eigenschap is het feit dat links verborgen zijn in iframes in plaats van als links getagd te worden. De meeste phishing-detectie-engines zijn gemaakt om URL's in html te scannen (waar URL's als links worden getagd) en identificeren daarom de links in deze kwaadaardige InDesign-webpagina's niet.
3. Een ander voordeel van het gebruik van het InDesign-platform zijn de verschillende ontwerpmogelijkheden voor social engineering, die de aanvallers helpen om het eruit te laten zien zoals ze willen (zo echt mogelijk) en slachtoffers voor de gek te houden.
4. Daar komt nog bij dat de aanvallers niet de kwaadaardige URL (die waarin om gebruikersgegevens wordt gevraagd) in de e-mail zelf hebben opgenomen, maar de pagina indd.adobe.com hebben gebruikt als tussenliggende URL die er veilig uitziet voor oplossingen voor e-mailbeveiliging.

Beschermd worden

Phishing scams worden steeds geraffineerder en gebruiken steeds geavanceerdere ontwijkingstechnieken. In dit geval maakten de aanvallers op drie manieren gebruik van het InDesign-platform: als vertrouwde host, als ontwerpplatform en om de eigenlijke kwaadaardige URL te verbergen voor scanners. De combinatie van deze tactieken is wat het anders maakt dan andere aanvallen en wat het mogelijk maakt om veel e-mailbeveiligingsoplossingen te omzeilen.

Helaas maakt dit het leven van zowel de organisaties die hun werknemers en bedrijfsmiddelen willen beschermen, als de beveiligingsleveranciers die hen daarbij helpen, een stuk moeilijker. Om zich te beschermen tegen dergelijke bedreigingen en andere opkomende phishingtechnieken, moeten organisaties ervoor zorgen dat ze bescherming tegen geavanceerde bedreigingen gebruiken bovenop hun basis e-mailbeveiliging - een beveiligingsoplossing die bescherming kan bieden tegen elke phishingaanval en -techniek, zelfs degene die nog niet bekend of algemeen gebruikt zijn.

Dit is waar Datto SaaS Defense kan helpen. SaaS Defense – Datto’s geavanceerde bescherming tegen bedreigingen voor de Microsoft 365-suite – biedt bescherming tegen phishing, ransomware en andere soorten malware. De unieke, gegevensonafhankelijke technologie van SaaS Defense detecteert onbekende phishingbedreigingen bij de eerste kennismaking, ongeacht eerdere aanvallen of de reputatie van het domein. Het is niet afhankelijk van software van derden, handtekeningen of malwareverslagen.

Terwijl de meeste beveiligingsoplossingen veel aandacht en onderhoud vereisen om efficiënt te werken, werkt SaaS Defense anders. Andere oplossingen moeten de dreiging eerst in het wild waarnemen om te begrijpen hoe deze werkt, voordat de oplossing zich kan aanpassen om deze te stoppen. SaaS Defense hanteert een andere aanpak door elke applicatie in Microsoft 365 grondig te analyseren. Hoe hoort die applicatie te werken? Wat is de definitie van goede en veilige codepaden? Die omstandigheden worden beschouwd als de bekende, veilige toestand. Zodra we iets waarnemen dat buiten die toestand valt – of het nu gaat om een mogelijk schadelijke link of om enige andere code-uitvoering die afwijkt van de norm – identificeren we die dreiging en blokkeren we deze om te voorkomen dat deze de eindgebruiker bereikt. Het resultaat? Het beschermt u, onze partners, ongeacht of de dreiging bekend of onbekend is, en u hoeft niet al het onderhoud, de zorg en het beheer te verrichten dat bij traditionele oplossingen wel nodig is.

Als u de SaaS Defense-oplossing in actie wilt zien en wilt ontdekken hoe deze u kan helpen uw klanten te beschermen tegen de meest geavanceerde en kwaadaardige cyberdreigingen, maak dan een afspraak voor een demo met een van onze vertegenwoordigers.