شناسایی کمپین جدیدی از حملات فیشینگ

به گزارش کارگروه امنیت سایبربان؛

به تازگی کمپین فیشینگی شناسایی شده است که از تکنیک مبهم سازی جدیدی استفاده می کند. در این روش، هکرها با استفاده از کد مورس (روشی برای انتقال پیام و اطلاعات است که در آن از یک رشته نشانه های بلند و کوتاه استاندارد به نام خط و نقطه استفاده می شود)، URL های موجود در ضمیمه ایمیل را مخفی می کنند. 

هکرها از شروع هفته گذشته، با هدف پنهان کردن URL های مخرب در حملات فیشینگ خود و عبور از مسیر ها و فیلترهای ورودی به ایمیل، استفاده از کد مورس را در دستور کار خود قرار داده اند. 
محققین BleepingComputer مدعی هستند این اولین بار است که استفاده از کد مورس در حملات فیشینگ را به چشم دیده اند. به اعتقاد آن ها استفاده از کد مورس، تکنیک مبهم سازی جدیدی به حساب می آید.
این حمله فیشینگ با ارسال ایمیلی آغاز می شود که به ظاهر صورت حساب یک شرکت با عنوان درآمد"_پرداخت_ صورت حساب_چهارشنبه_ 02/03/2021 " می باشد.
این ایمیل حاوی یک ضمیمه به فرمت HTML می باشد. این ضمیمه به صورتی نام گذاری شده است که کاربران آن را با فایل اکسل صورت حساب شرکت اشتباه خواهند گرفت. فرمت نام گذاری این ضمیمه ها به شکل زیر می باشد:
Xlsx.hTML._.{شماره}_صورتحساب_ (نام شرکت)
با باز کردن این ضمیمه در ویرایشگر متن می توانید به وضوح مشاهده کنید که اعداد و حروف ها به کد مورس مرتبط شده اند. پس از آن، کدهای مورس از طریق رمزگشایی به رشته هگزادسیمال(سامانه عدد نویسی بر مبنای عدد 16) تبدیل می شود.
این رشته های هگزادسیمال بعدا از طریق رمزگشایی به تگ های جاواسکریپت تبدیل  و به داخل صفحه HTML تزریق می شوند.
این اسکریپت های تزریق شده با فایل ضمیمه به فرمت HTML ترکیب می شوند و کاربر را مجبور به وارد کردن دوباره گذرواژه خود می کنند. 

با وارد کردن گذرواژه توسط کاربر، فرم مربوطه گذراواژه را به یک سایت دیگر می فرستد و مهاجمین می توانند اعتبارنامه های ورود به حساب کاربران را جمع آوری کنند.

این کمپین فعالیت زیادی داشته و اهداف را هدف قرار داده است.
محققین BleepingComputer 11 حمله فیشیگ از این نوع را به شرکت هایی مانند SGS، Dimensional، Matrohm، SBI، NUOVO IMAIW، Bridgestone، Cargeas، ODDO BHF، Dea Capital، Equinti و Capital Four شناسایی کرده اند. 

.