تستهدف منصة تصيد التصيد المحفوظة حديثًا (PHAAs) ، والتي تحمل اسم Voidproxy ، حسابات Microsoft 365 وحسابات Google ، بما في ذلك تلك المحمية من قبل مزودي SSO-ON (SSO) من طرف ثالث مثل OKTA.
يستخدم النظام الأساسي تكتيكات الخصم في الوسط (AITM) لسرقة بيانات الاعتماد ورموز المصادقة متعددة العوامل (MFA) ورموز الجلسة في الوقت الفعلي.
تم اكتشاف voidproxy بواسطة”https://sec.okta.com/articles/uncloakingvoidproxy/” الهدف=”_blank” rel=”nofollow noopener”> ذكاء التهديد أوكتاالباحثون ، الذين يصفونها بأنها قابلة للتطوير ، مراوغة ، ومتطورة.
يبدأ الهجوم برسائل بريد إلكتروني من حسابات معرضة للخطر في موفري خدمة البريد الإلكتروني ، مثل الاتصال المستمر ، والحملة النشطة ، ورسائل الإخطار ، والتي تتضمن روابط مختصرة ترسل المستفيدين إلى مواقع التصيد بعد إعادة توجيه متعددة.
يتم استضافة المواقع الخبيثة على مجالات منخفضة التكلفة يمكن التخلص منها على .icu و .sbs و .cfd و .xyz و .top و .home ، والتي تحميها CloudFlare لإخفاء IPs الحقيقية.
يتم تقديم تحدي Cloudflare Captcha أولاً لتصفية الروبوتات وزيادة الشعور بالشرعية ، بينما يتم استخدام بيئة عامل CloudFlare لتصفية صفحات المرور والتحميل.
المصدر: أوكتا
الأهداف المحددة تنقض صفحة تحاكي تسجيل الدخول إلى Microsoft أو Google ، في حين يتم تحويل الباقي إلى صفحة عامة و “مرحبًا” لا تمثل أي تهديد.
إذا تم كتابة بيانات الاعتماد في نموذج التصيد ، يتم تكييف الطلبات من خلال خصم Voidproxy في الوسط (AITM) إلى خوادم Google أو Microsoft.
المصدر: أوكتا
يتم إعادة توجيه حسابات الاتحادية مثل أولئك الذين يستخدمون OKTA لـ SSO إلى صفحة التصيد الخزلية في المرحلة الثانية التي تنتحل شخصية Microsoft 365 أو Google SSO مع OKTA. كانت هذه الطلبات من أجل خوادم Okta.
يقوم خادم الوكيل الخاص بالخدمة بمرور الحركة بين الضحية والخدمة المشروعة أثناء التقاط أسماء المستخدمين وكلمات المرور ورموز MFA أثناء العبور.
عندما تصدر الخدمة المشروعة ملف تعريف ارتباط للجلسة ، يعترض Voidproxy وإنشاء نسخة متاحة للمهاجمين مباشرة على لوحة مسؤول النظام الأساسي.
المصدر: أوكتا
أشار Okta إلى أن المستخدمين الذين التحقوا بالتصديق المقاوم للتصوير مثل Okta Fastpass كانوا محميين من تدفق الهجوم من Voidproxy وتلقوا تحذيرات بشأن أن حساباتهم يتعرضون للهجوم.
تتضمن توصيات الباحثين تقييد الوصول إلى التطبيقات الحساسة فقط للأجهزة المدارة ، وفرض ضوابط الوصول المستندة إلى المخاطر ، وذلك باستخدام ملزمة جلسة IP للتطبيقات الإدارية ، وإجبار إعادة المصادقة على المسؤولين الذين يحاولون إجراءات حساسة.