Het afgelopen jaar is het Logokit-platform voor phishing-as-a-service (PhaaS) geëvo­lu­eerd van een standaard phishingkit tot een realtime platform voor digitale mislei­ding dat op maat gemaakte phishingpagina’s genereert voor indivi­duele doelwitten. In een nieuw rapport leggen onder­zoe­kers van Barra­cuda uit hoe het platform niet langer alle doelwitten naar dezelfde nep-inlog­pa­gina leidt, maar legitieme commer­ciële webser­vices gebruikt om onmid­del­lijk de inloger­va­ring van het slacht­offer bij zijn bedrijf na te bootsen. Gestolen inlog­ge­ge­vens worden vervol­gens via Telegram en andere cloud­dien­sten wegge­sluisd. Deze technieken maken phishing­aan­vallen overtui­gender en moeilijker te detecteren.

Van het imiteren van merken naar het imiteren van omgevingen

De aanval begint wanneer het slacht­offer op een phishing­link klikt waarin zijn e‑mailadres in de URL is opgenomen. Code die is ingebed in de phishing­pa­gina haalt dat e‑mailadres eruit en gebruikt de e‑maildomeinnaam, zoals company​.com, om de organi­satie van het slacht­offer te identi­fi­ceren en de phishing­pa­gina daarop af te stemmen.

De toolkit gebruikt commer­ciële webser­vices om de bedrijfslogo’s en favicons op te halen en een realtime screenshot te maken van de legitieme website van het bedrijf van het slacht­offer. Het resul­taat is een phishing­pa­gina die qua uiter­lijk en gevoel nauw aansluit bij de inloger­va­ring die het slacht­offer gewend is. De ingevoerde inlog­ge­ge­vens worden recht­streeks naar een Telegram-bot verzonden, waardoor er geen tradi­ti­o­nele, door de aanvaller beheerde backend-infra­struc­tuur nodig is. Het slacht­offer wordt vervol­gens doorge­stuurd naar de echte website, waardoor de inbreuk moeilijker te herkennen en te onder­zoeken is.

De phishing­aan­vallen van Logokit kunnen in meerdere talen worden uitge­voerd. Onder­zoe­kers van Barra­cuda hebben campagnes geïden­ti­fi­ceerd in het Engels, Duits, Frans, Spaans, Chinees en Koreaans.

Ondanks deze techni­sche innovatie maken Logokit-campagnes ook nog steeds gebruik van bekende social-enginee­ring-lokmid­delen, waaronder meldingen over het verlopen van wacht­woorden, waarschu­wingen voor het vernieuwen van securi­ty­cer­ti­fi­caten, account­be­per­kingen, mislukte leveringen en meldingen over urenstaten.

“Logokit is overge­stapt van het nabootsen van merken naar het nabootsen van realtime omgevingen, terwijl aanval­lers minder infra­struc­tuur nodig hebben om te opereren. Dit alles maakt dat deze aanvallen overtui­gender en moeilijker te detec­teren zijn”, zegt Sachin Meti, Threat Analysis Associate bij Barra­cuda. “Nu aanval­lers steeds vaker de tools en werkwijzen van moderne softwa­re­ont­wik­ke­ling overnemen, hebben organi­sa­ties securi­ty­maat­re­gelen nodig die aanvallen kunnen detec­teren en stoppen, zelfs wanneer een fraudu­leuze pagina legitiem lijkt.”

Gelaagde aanpak van security

De bevin­dingen laten zien hoe ‘phishing-as-a-service’-platforms steeds meer geauto­ma­ti­seerd, geper­so­na­li­seerd en afhan­ke­lijker worden van cloud­dien­sten. Om zich hiertegen te verde­digen, bevelen onder­zoe­kers een gelaagde securi­ty­aanpak aan die geauto­ma­ti­seerde dreigings­de­tectie combi­neert met phishing­be­sten­dige meervou­dige authen­ti­catie (MFA), zoals FIDO2 security keys en passkeys, en condi­ti­o­nele of op risico gebaseerde toegangs­con­troles. Deze maatre­gelen helpen om de toegang van aanval­lers te beperken, zelfs als inlog­ge­ge­vens worden gestolen, door rekening te houden met factoren zoals de betrouw­baar­heid van het device, de locatie van de gebruiker en gedragspatronen.

Securi­ty­teams zouden ook moeten overwegen om verdachte links in geïso­leerde externe omgevingen te openen voordat ze de devices van gebrui­kers bereiken. Daarnaast zouden ze alle URL’s automa­tisch moeten analy­seren op mogelijke dreigingen. Hoewel trainingen in securi­ty­be­wust­zijn belang­rijk blijven, maken de steeds overtui­gen­dere phishing-aanvallen robuuste securi­ty­tech­no­lo­gieën en ‑beleids­re­gels essentieel.

Kijk hier voor meer infor­matie en techni­sche details: https://​blog​.barra​cuda​.com/​2​0​2​6​/​0​7​/​2​9​/​l​o​g​o​k​i​t​-​p​h​i​s​h​i​n​g​-​s​e​r​v​i​c​e​-​r​e​a​l​-​t​i​m​e​-​d​e​c​e​p​t​i​o​n​-​p​l​a​t​form.