Une campagne de phishing généralisée a été observée en tirant parti de faux documents PDF hébergés sur le réseau de livraison de contenu Webflow (CDN) dans le but de voler des informations sur les cartes de crédit et de commettre une fraude financière.
“L’attaquant cible les victimes à la recherche de documents sur les moteurs de recherche, ce qui entraîne un accès à un PDF malveillant qui contient une image CAPTCHA intégrée avec un lien de phishing, les conduisant à fournir des informations sensibles”, a déclaré Jan Michael Alcantara, chercheur de Netkope Threat Labs, Jan Michael Alcantara dit.
L’activité, en cours depuis la seconde moitié de 2024, implique que les utilisateurs à la recherche de titres de livre, de documents et de graphiques sur des moteurs de recherche comme Google pour rediriger les utilisateurs vers des fichiers PDF hébergés sur le CDN WebFlow.
Ces fichiers PDF sont intégrés avec une image qui imite un défi CAPTCHA, ce qui fait que les utilisateurs qui cliquent dessus sont amenés sur une page de phishing qui, cette fois, héberge un véritable CloudFlare Turnique Captcha.
Ce faisant, les attaquants visent à prêter au processus un placage de légitimité, trompant les victimes en pensant qu’ils avaient interagi avec un contrôle de sécurité, tout en éluant la détection par des scanners statiques.
Les utilisateurs qui complètent le véritable défi CAPTCHA sont par la suite redirigés vers une page qui comprend un bouton “Télécharger” pour accéder au document supposé. Cependant, lorsque les victimes tentent de terminer l’étape, on lui a servi un message contextuel leur demandant de saisir leurs détails de carte personnelle et de crédit.
“En entrant les détails de la carte de crédit, l’attaquant enverra un message d’erreur pour indiquer qu’il n’a pas été accepté”, a déclaré Michael Alcantara. “Si la victime soumet les détails de leur carte de crédit deux ou trois fois de plus, elle sera redirigea vers une page d’erreur HTTP 500.”
Le développement intervient alors que Slashnext a détaillé un nouveau kit de phishing nommé Astaroth (à ne pas confondre avec un malware bancaire du même nom) qui est annoncé sur les marchés télégrammes et cybercriminaux pour 2000 $ en échange de six mois de mises à jour et de contournement des techniques.
Comme les offres de phishing-as-a-service (PHAAS), il permet aux cyber-escrocs la possibilité de récolter les informations d’identification et les codes d’authentification à deux facteurs (2FA) via des pages de connexion fausses qui imitent les services en ligne populaires.
“Astaroth utilise un proxy inversé de style Evilginx pour intercepter et manipuler le trafic entre les victimes et les services d’authentification légitimes comme Gmail, Yahoo et Microsoft”, chercheur en sécurité Daniel Kelle dit. “Agissant comme un homme dans le milieu, il capture les informations d’identification de connexion, les jetons et les cookies de session en temps réel, en contournant efficacement 2FA.”