Wazza: nowy zestaw phishingowy podszywa się pod Adobe i wyłudza kod urządzenia

ANY.RUN opisało Wazza, nowy zestaw phishingowy wymierzony w banki, firmy produkcyjne i instytucje rządowe w USA, Europie i Australii. Ofiara trafia na stronę podszywającą się pod Adobe, która wyłudza kod urządzenia (Device Code). To kampania phishingowa, a nie luka w oprogramowaniu, więc nie dotyczy jej żadna poprawka.

Wazza nie pokazuje fałszywej strony każdemu, kto kliknie link. Ruch przechodzi przez kilkuetapowy łańcuch. Domena startowa boegl-krysl[.]eu sprawdza, czy adres należy do aktywnej kampanii. Usługa na workers[.]dev nadaje odwiedzającemu znacznik, a /api/mint-token wydaje krótkotrwały podpisany token sesji. Przynętę widzi dopiero ten, czyj token i dane przeglądarki przejdą weryfikację. Według ANY.RUN sam link z wiadomości niewiele przez to zdradza, a automatyczne wykrywanie może być trudniejsze.

Kogo dotyczy

Organizacje z sektora bankowego, produkcyjnego i administracji publicznej w USA, Europie i Australii. Materiał wymienia też firmy MSSP, które analizują alerty w środowiskach wielu klientów naraz: przez Wazza takie dochodzenia mogą trwać dłużej i częściej kończyć się zbędną eskalacją.