Фишинг енді таныс сервистерге жасырынуда. Алаяқтар танымал бұлттық платформалардың инфрақұрылымын пайдаланып, зиянды сілтемелерді сенімді етіп көрсетуге, қорғаныс жүйелерінен жасырынуға және парольмен бірге көп факторлы аутентификация кодтарын да қолға түсіруге тырысады, деп хабарлайды DKNews.kz.
«Касперский зертханасының» дерегінше, 2025 жылғы тамыздан 2026 жылғы шілдеге дейін бұлттық платформалар пайдаланылған 390 мыңнан астам фишингтік жағдай анықталған. Зиянкестер көбіне Cloudflare Workers, Vercel, GitHub Pages және Netlify сервистерін пайдаланған. Зерттеуде бұл көрсеткіш бұлттық платформалар мен орталықтандырылмаған IPFS желілерінің домендерінде бұғатталған сілтемелер санына негізделгені нақтыланады.
Алаяқтар танымал платформалардың беделін пайдаланады
Қазіргі фишингтің басты ерекшеліктерінің бірі — жалған парақша міндетті түрде күмәнді көрінетін сайтта орналаспайды.
Шабуылдаушылар зиянды тізбектің жекелеген бөліктерін көпшілікке белгілі бұлттық сервистердің инфрақұрылымына орналастырады. Мұндай платформалардың беделі жоғары, тегін тарифтері бар, ал жаңа аккаунт ашуға бірнеше минут жеткілікті.
Сондықтан пайдаланушы таныс доменді немесе жарамды SSL сертификатын көріп, парақшаны қауіпсіз деп қабылдауы мүмкін.
Бұл жерде Cloudflare Workers, Vercel, GitHub Pages немесе Netlify-дің өзі зиянды сервис емес. Әңгіме олардың заңды мүмкіндіктерін алаяқтардың өз схемаларында пайдалануында.
Жалған CAPTCHA алдымен корпоративтік поштаны сұрайды
Зерттеуде сипатталған шабуылдардың бірі кәдімгі электрондық хаттан басталады.
Мысалы, пайдаланушыға өзін әріптес ретінде таныстырған адам жұмыс құжаттарын қарап шығуды сұрап, сілтеме жібереді. Сілтемені басқан адам жалған CAPTCHA орналасқан парақшаға түседі.
Бірақ әдеттегі «робот емес екеніңізді растаңыз» тексеруінің орнына одан корпоративтік электрондық пошта мекенжайын енгізу сұралады.
Мәлімет алаяқтардың қолына түскеннен кейін пайдаланушы автоматты түрде Cloudflare Workers тегін ұсынатын .workers.dev мекенжайына бағытталады.
Электрондық пошта мекенжайы URL хэші арқылы беріледі. Осылайша келесі парақша ақпаратты алаяқтардың серверіне жеке сұрау жіберместен ала алады. Зерттеушілердің түсіндіруінше, мұндай тәсіл күмәнді белсенділікті жасыруға көмектеседі.
Екінші CAPTCHA бұл жолы шынайы болады
Шабуыл мұнымен аяқталмайды.
Келесі кезеңде пайдаланушы тағы бір CAPTCHA көреді. Бірақ бұл жолы тексеру шынайы: алаяқтар парақшаға автоматтандырылған жүйе емес, нақты адам кіргенін анықтауға тырысады.
CAPTCHA HTML-кодқа тікелей енгізілмей, парақшаға динамикалық түрде жүктеледі. Бұл қорғаныс жүйелерінің шабуылды анықтауын қиындатады.
Осылайша қарапайым сілтеме бірнеше кезеңнен тұратын фишингтік тізбекке айналады. Әр келесі қадам пайдаланушының күдігін азайтуға құрылған.
Office 365 терезесінің көшірмесі 2FA кодын да ұстап қалады
Шабуылдың негізгі кезеңінде пайдаланушы Microsoft Office 365 жүйесіне кіру терезесіне ұқсайтын жалған интерфейсті көреді.
Оны жасау үшін Browser-in-the-Browser немесе BiTB әдісі қолданылады. Заңды веб-парақшаның ішінде браузердің шынайы қалқымалы терезесіне ұқсатып жасалған жеке блок ашылады. Оның ішінде тіпті мекенжай жолағы мен басқару элементтері де имитацияланады.
Пайдаланушы сол терезеге логинін, паролін және көп факторлы аутентификация кодын енгізсе, кіріктірілген скрипт бұл деректерді ұстап қалады.
Шабуылдаушылар сессиялық токендерді де қолға түсіре алады. Соңында пайдаланушы жүйелік қате көрсетілген парақшаға жіберіледі — бұл күдікті азайту үшін жасалады.
Тегін бұлттық домен күдікті азайтады
«Касперский зертханасының» киберқауіпсіздік жөніндегі сарапшысы Ольга Алтухова мұндай схемалардың таралуын заңды сервистердің бірнеше ерекшелігімен байланыстырады.
«Зиянкестер заңды сервистердің мүмкіндіктерін бірнеше себеппен пайдаланады. Біріншіден, мұндай ресурстардың беделі жақсы, сондықтан оларға орналастырылған фишингтік сілтемелер күдікті азырақ тудырады. Бұған қоса, көптеген платформаларда тегін тарифтер бар, ал аккаунт тіркеуге бірнеше минут қана кетеді. Сондай-ақ алаяқтар анықталмау үшін кіріктірілген қорғаныс механизмдерін де пайдаланады. Cloudflare Workers жағдайында Adversary-in-the-Middle, яғни „ортадағы шабуылдаушы“, сондай-ақ Browser-in-the-Browser — интерфейсті алмастыру әдістері қолданылған көпсатылы шабуыл іске асырылды. Бұл фишингтік схемалардың қаншалықты күрделеніп бара жатқанын көрсетеді», — деді Ольга Алтухова.
Сондықтан бұрын сенімділіктің белгісі саналған таныс домен, HTTPS немесе шынайы көрінетін авторизация терезесі енді парақшаның қауіпсіз екеніне өздігінен кепіл бола алмайды.
Электрондық поштаны сұраған CAPTCHA күдік тудыруы тиіс
Мамандар CAPTCHA өту кезінде жеке мәлімет енгізуді сұрайтын парақшаларға сақ болуға кеңес береді. Қалыпты тексеру үшін электрондық пошта мекенжайын көрсету, әдетте, қажет емес.
BiTB шабуылын байқаудың тағы бір жолы — браузердің негізгі мекенжай жолағын тексеру.
Жалған қалқымалы терезенің ішінде алаяқтар кез келген URL-ды, тіпті заңды сервистің нақты мекенжайын да көрсете алады. Бірақ браузердің негізгі адрес жолағында пайдаланушы кірген шынайы домен сақталып қалады.
Сондай-ақ таныс доменнен ашылған немесе жарамды SSL сертификаты бар парақша болса да, күтпеген жерден логин, пароль немесе басқа мәлімет сұралса, оны мұқият тексерген жөн.
Бұл схема бір нәрсені анық көрсетеді: енді «күмәнді сайттарға кірмеу» кеңесінің өзі жеткіліксіз. Қауіп кейде доменнің атауында емес, сол парақшаның ішінде не болып жатқанында жасырылады.
