Tin tặc sử dụng thủ thuật CAPTCHA trên PDF Webflow CDN để vượt qua máy quét bảo mật
Một chiến dịch lừa đảo lan rộng đã được phát hiện sử dụng các tài liệu PDF giả mạo được lưu trữ trên mạng phân phối nội dung (CDN) Webflow với mục đích đánh cắp thông tin thẻ tín dụng và thực hiện gian lận tài chính.
Nhà nghiên cứu Jan Michael Alcantara của Netskope Threat Labs cho biết : "Kẻ tấn công nhắm vào các nạn nhân đang tìm kiếm tài liệu trên công cụ tìm kiếm, dẫn đến việc truy cập vào tệp PDF độc hại có chứa hình ảnh CAPTCHA được nhúng kèm theo liên kết lừa đảo, khiến họ cung cấp thông tin nhạy cảm" .
Hoạt động này diễn ra từ nửa cuối năm 2024, yêu cầu người dùng tìm kiếm tên sách, tài liệu và biểu đồ trên các công cụ tìm kiếm như Google để chuyển hướng người dùng đến các tệp PDF được lưu trữ trên Webflow CDN.
Các tệp PDF này được nhúng một hình ảnh mô phỏng thử thách CAPTCHA, khiến người dùng nhấp vào sẽ được chuyển đến một trang lừa đảo, lần này lưu trữ CAPTCHA Cloudflare Turnstile thật.
Khi làm như vậy, kẻ tấn công sẽ tạo cho quá trình này vẻ ngoài hợp pháp, đánh lừa nạn nhân nghĩ rằng họ đã tương tác với một cuộc kiểm tra bảo mật, đồng thời tránh bị máy quét tĩnh phát hiện.
Người dùng hoàn thành thử thách CAPTCHA thực sự sau đó được chuyển hướng đến một trang có nút "tải xuống" để truy cập tài liệu được cho là. Tuy nhiên, khi nạn nhân cố gắng hoàn thành bước này, họ sẽ nhận được một thông báo bật lên yêu cầu họ nhập thông tin cá nhân và thẻ tín dụng.
"Khi nhập thông tin thẻ tín dụng, kẻ tấn công sẽ gửi thông báo lỗi cho biết thông tin đó không được chấp nhận", Michael Alcantara cho biết. "Nếu nạn nhân gửi thông tin thẻ tín dụng của họ thêm hai hoặc ba lần nữa, họ sẽ được chuyển hướng đến trang lỗi HTTP 500".
Sự phát triển này diễn ra khi SlashNext nêu chi tiết về một bộ công cụ lừa đảo mới có tên Astaroth (không nên nhầm lẫn với phần mềm độc hại ngân hàng cùng tên) được quảng cáo trên Telegram và các thị trường tội phạm mạng với giá 2.000 đô la để đổi lấy sáu tháng cập nhật và các kỹ thuật vượt qua.
Giống như các dịch vụ lừa đảo trực tuyến ( PhaaS ) khác, dịch vụ này cho phép tội phạm mạng thu thập thông tin đăng nhập và mã xác thực hai yếu tố (2FA) thông qua các trang đăng nhập giả mạo bắt chước các dịch vụ trực tuyến phổ biến.
"Astaroth sử dụng proxy ngược kiểu Evilginx để chặn và thao túng lưu lượng giữa nạn nhân và các dịch vụ xác thực hợp pháp như Gmail, Yahoo và Microsoft", nhà nghiên cứu bảo mật Daniel Kelley cho biết . "Hoạt động như một kẻ trung gian, nó thu thập thông tin đăng nhập, mã thông báo và cookie phiên theo thời gian thực, bỏ qua hiệu quả 2FA".