spear phishing

Spear phishing to phishing wymierzony w konkretną osobę, firmę lub branżę, z treścią przygotowaną pod odbiorcę. MITRE określa wszystkie formy phishingu jako elektronicznie dostarczaną socjotechnikę i nazywa odmianę ukierunkowaną właśnie spear phishingiem ^[2]. CERT Polska opisuje spear phishing jako oszustwo o charakterze socjotechnicznym, wykorzystujące presję autorytetu i czasu, aby skłonić atakowanego do niekorzystnego działania ^[1]. MITRE przeciwstawia mu phishing nieukierunkowany, na przykład masowe kampanie spamowe ^[2]. Od kampanii masowych różni go dopasowanie: nadawca, temat i szczegóły wiadomości mają wyglądać wiarygodnie dla tej jednej osoby.

Jak działa

Atak zaczyna się od rozpoznania. CERT Polska zwraca uwagę, że przestępcom przychodzi to łatwo, bo prawie wszystkie potrzebne dane są ogólnodostępne ^[1]. Źródłem są strony firmowe, rejestry i media społecznościowe, czyli OSINT. Z tych informacji powstaje wiadomość ze stopką instytucji i podpisem prawdziwego pracownika ^[1]. Przebieg pokazuje schemat poniżej.

RYS. 1Spear phishing wobec administratora strony

Wiarygodność wzmacnia podszywanie się (spoofing) pod adres nadawcy. CERT Polska wskazuje, że atakujący wykorzystują w tym celu błędy konfiguracji dwóch mechanizmów, SPF i DMARC ^[1]. Ładunkiem bywa link do fałszywej strony logowania albo załącznik ze złośliwym oprogramowaniem (malware).

Odmiany

MITRE dzieli technikę Phishing (T1566) na podtechniki według kanału dostarczenia ^[2].

W wariancie z linkiem MITRE opisuje też nadużycie zgody OAuth, w którym ofiara nadaje złośliwej aplikacji uprawnienia do swojego konta ^[3]. Spear phishing wymierzony w osoby z kierownictwa nazywa się whaling, a podszywanie się pod przełożonego lub kontrahenta w celu wyłudzenia przelewu to BEC.

W WordPressie

Administrator strony ma uprawnienia, które interesują atakujących: może instalować wtyczki, dodawać konta i zmieniać kod. Znane kampanie wobec administratorów WordPressa podszywały się pod sam projekt i jego zespół bezpieczeństwa ^[5].

W grudniu 2023 roku Patchstack opisał kampanię, w której administratorzy dostawali wiadomości rzekomo od zespołu WordPressa o krytycznej podatności zdalnego wykonania kodu o identyfikatorze CVE-2023-45124 i o „łatce” do pobrania ^[6]. Identyfikator był fałszywy, a link prowadził do kopii strony WordPress.org w obcej domenie ^[6]. Pobrana wtyczka tworzyła ukryte konto administratora, wysyłała jego dane na serwer atakujących i zostawiała tylną furtkę (backdoor) w pliku wp-autoload.php ^[6]. Była to kampania masowa, choć skierowana do jednej grupy zawodowej i oparta na jej realiach, czyli na zarządzaniu aktualizacjami. Efektem była fałszywa wtyczka i nieautoryzowane konto administratora.

WordPress.org odpowiedział komunikatem z 4 grudnia 2023 roku ^[5]. Zespół bezpieczeństwa WordPressa nigdy nie wysyła e-maili z prośbą o instalację wtyczki lub motywu i nigdy nie prosi o login i hasło administratora ^[5]. Oficjalne wiadomości przychodzą z domen wordpress.org albo wordpress.net, a prawdziwy katalog wtyczek działa pod wordpress.org/plugins i jego wersjami językowymi ^[5].

Zagrożenia i skutki

Skutkiem udanego ataku jest zwykle przejęcie konta albo instalacja złośliwego oprogramowania na komputerze ofiary. Na stronie WordPress przejęty panel oznacza kontrolę nad treścią i kodem. Spear phishing bywa też pierwszym krokiem dłuższej operacji: CERT Polska i SKW opisały kampanię, w której od takich wiadomości zaczynało się szpiegostwo wobec placówek dyplomatycznych ^[4].

Jak się bronić

CERT Polska zaleca nie ulegać presji czasu i autorytetu, wdrożyć filtry antyspamowe i weryfikować nietypowe prośby innym kanałem komunikacji ^[1]. MITRE wśród środków zaradczych dla wariantu z linkiem wymienia mechanizmy uwierzytelniania poczty SPF, DKIM i DMARC, szkolenie użytkowników oraz ograniczenie możliwości nadawania zgód nieznanym aplikacjom ^[3]. Dla całej techniki Phishing wymienia też między innymi oprogramowanie antywirusowe, filtrowanie treści z sieci i szkolenia z cyberbezpieczeństwa dla pracowników (security awareness training) ^[2].

Dla administratorów WordPressa praktyczne reguły wynikają z komunikatu WordPress.org ^[5]:

• wtyczki instalować tylko z katalogu WordPress.org albo od znanego producenta, nigdy z linku w e-mailu;
• sprawdzać domenę nadawcy i adres strony, do której prowadzi link;
• nie podawać danych logowania w odpowiedzi na wiadomość.

Samo hasło wyłudzone przez fałszywą stronę nie wystarczy do zalogowania, jeśli konto chroni uwierzytelnianie wieloskładnikowe (multi-factor authentication, MFA). Istnieje jednak odmiana, w której atakujący przechwytuje także drugi składnik: phishing AiTM (adversary-in-the-middle). Dokumentacja WordPressa wskazuje passkeys (WebAuthn) jako logowanie odporne na phishing ^[7].

Historia i przykłady

13 kwietnia 2023 roku CERT Polska i Służba Kontrwywiadu Wojskowego ostrzegły przed kampanią szpiegowską przypisywaną grupie APT29, związanej z rosyjskimi służbami ^[4]. Celem były placówki dyplomatyczne i ministerstwa spraw zagranicznych, głównie w państwach NATO i Unii Europejskiej ^[4]. Według komunikatu sprawcy wysyłali wiadomości spear phishing podszyte pod ambasady państw europejskich, z zaproszeniem na spotkanie albo do wspólnej pracy nad dokumentami ^[4]. Link w treści lub w załączniku PDF prowadził do strony, która technikami takimi jak HTML smuggling dostarczała złośliwe pliki ^[4]. Dalsze etapy wykorzystywały między innymi DLL sideloading przez podpisane pliki wykonywalne i skróty udające dokumenty ^[4]. Komunikat zwraca uwagę, że narzędzia użyte w kampanii były wcześniej nieopisane publicznie ^[4].

W marcu 2023 roku CERT Polska opisał ataki spear phishing na pracowników polskich firm i instytucji publicznych, w tym wiadomości wzywające do natychmiastowej weryfikacji stanu konta ^[1].