Barracuda: fałszywy DocuSign składa stronę phishingową w przeglądarce ofiary

Badacze Barracuda opisali kampanię phishingową, w której fałszywa strona logowania nie stoi na żadnym serwerze. Powstaje w przeglądarce ofiary z adresu blob, czyli tymczasowego adresu wskazującego na dane w pamięci komputera. Atak zaczyna się od wiadomości stylizowanej na DocuSign z zaproszeniem kalendarzowym w załączniku. Zaproszenie nie jest ładunkiem, tylko przykrywką: kieruje do prawdziwego punktu OAuth Microsoftu, więc nie wygląda podejrzanie.

Spreparowany parametr przekierowania prowadzi do Microsoft Teams, który ładuje zasób z zewnętrznej domeny cdn.bloom[.]io. Stąd strona phishingowa jest renderowana z adresu blob na komputerze ofiary. Po załadowaniu rejestruje service worker i uruchamia część logiki w odizolowanej ramce iframe, dzięki czemu zaplecze atakujących zmienia na żywo to, co widzi ofiara. Według badaczy to element centralnie sterowanej platformy phishingowej obsługującej wielu ofiar naraz.

Barracuda radzi obserwować przepływy autoryzacji OAuth i łańcuchy przekierowań pod kątem nieoczekiwanych adresów, sprawdzać aktywność adresów blob przy logowaniu oraz oznaczać rejestracje service workerów powiązane z treścią ładowaną z zewnątrz.