Kyberpodvodníci na krádež hesiel zneužívajú dôveryhodnú platformu Softr

Osobitnú pozornosť odborníkov vzbudil fakt, že kyberzločinci pri tejto kampani zneužívajú legitímnu no-code platformu Softr, určenú na tvorbu webových aplikácií bez programátorských znalostí. Práve dôveryhodnosť tejto služby a jej domén umožňuje útočníkom jednoduchšie obchádzať bezpečnostné filtre a zvyšovať úspešnosť phishingových útokov.

Ako prebieha útok? Psychológia a absurdné výzvy

Útočníci rozposielajú podvodné správy z prepožičaných (nabúraných) reálnych adries, čo výrazne sťažuje ich odhalenie. V e-maile s predmetom „POZOR: Vypršanie Hesla Dnes“ vytvárajú umelý časový tlak a hrajú na autoritu IT oddelenia.

E-mail však obsahuje logický nezmysel, ktorý by vás mal okamžite trknúť:

• Správa vás síce straší vypršaním hesla, no zároveň vás explicitne navádza, aby ste klikli na tlačidlo „ Ponechajte si existujúce heslo“.
• To úplne popiera logiku firemných pravidiel, ktoré pri expirácii vyžadujú vytvorenie nového hesla.

Aby mail pôsobil dôveryhodne, na jeho konci útočníci dynamicky zobrazujú názov vašej spoločnosti alebo domény. Ak na odkaz kliknete, skončíte na podvodnej prihlasovacej stránke s dizajnom „SPRÁVCA SYSTÉMU“. Všetko, čo sem zadáte, putuje priamo hackerom.

Prečo práve platforma Softr?

Softr je moderný no-code nástroj s integrovanou AI, kde si dokáže naklikať webovú aplikáciu aj úplný laik. Výskumníci zistili, že kyberzločinci tento nástroj zneužívajú už od mája 2023. Prináša im to totiž obrovské výhody:

• Obchádzanie zabezpečenia: Doména softr.app je globálne považovaná za bezpečnú. Antivírusy a URL filtre ju preto bežne neblokujú.
• Kompletný servis zadarmo: Platforma útočníkom automaticky vygeneruje bezpečnostný TLS certifikát (známy zámok pri adrese), rýchly hosting a zabezpečí svižné načítanie stránky.

Pozor na AitM (Adversary in the Middle): > Útočníci dnes dokážu obísť aj klasické dvojfaktorové overenie (MFA / 2FA). Cez špeciálne frameworky sledujú vaše prihlasovanie v reálnom čase. Keď zadáte heslo aj SMS kód (či kód z aplikácie), útočník ich okamžite prepošle skutočnej službe, ukradne takzvanú "session cookie" a získa prístup do vášho účtu bez toho, aby si systém niečo všimol.

Ako sa chrániť? (Preventívne opatrenia)

Nikdy nemeňte heslo cez e-mailové odkazy: Ak vám príde výzva na zmenu alebo ponechanie hesla, ignorujte odkaz. Otvorte si prehliadač a prejdite do nastavení účtu priamo cez oficiálnu webovú aplikáciu.

Dodržiavajte digitálnu hygienu: Neklikajte na nič, čo neočakávate. Ak máte pochybnosti, overte si e-mail u vášho IT oddelenia iným kanálom (napr. telefonicky alebo osobne).

MFA ako základ: Hoci sa dá obísť, stále ide o dôležitú vrstvu zabezpečenia, ktorá odradí obrovské množstvo menej sofistikovaných útokov.

Čo robiť, ak ste naleteli?

Ak ste už na odkaz klikli a zadali svoje údaje, okamžite konajte:

• Informujte IT správcu: V rámci firmy bezodkladne nahláste incident IT oddeleniu.
• Zmeňte si heslá: Čo najrýchlejšie si zmeňte heslo do dotknutej schránky a tiež všade tam, kde ste používali rovnaké heslo.
• Ukončite relácie: V nastaveniach zabezpečenia e-mailu zvoľte možnosť „Odhlásiť zo všetkých zariadení“ (ukončiť aktívne relácie).
• Skontrolujte schránku: Preverte, či vám útočník nenastavil skryté presmerovanie pošty alebo pravidlá na automatické mazanie správ.

Identifikátory kompromitácie (IOC)

Ak vo firemných logoch alebo histórii prehliadačov narazíte na tieto adresy, ide o škodlivú aktivitu:

• hXXps://brendan67981.softr[.]app
• hXXps://dewayne33096.softr[.]app
• hXXps://dorla77172.softr[.]app
• hXXps://fidel9894.softr[.]app
• hXXps://norris30013.softr[.]app
• hXXps://sydney92492.softr[.]app
• hXXps://thepublicplanet[.]com/outbound?url=//dorla77172.softr[.]app

 
Autor článku: Iveta hudáková