I criminali stanno utilizzando una tattica sorprendentemente semplice per cercare di indirizzare le vittime verso link di phishing – e la cattiva notizia è che sembra che stia funzionando. Di solito, gli hacker redigerebbero un’e-mail elaborata cercando di convincere le vittime a fare clic su un link presente alla fine del messaggio. Queste e-mail direbbero ai destinatari che hanno urgentemente bisogno di scaricare un antivirus o annullare una transazione in sospeso che li lascerà senza soldi, o qualcosa di simile.

Tattica dei Criminali

Tuttavia, i ricercatori di sicurezza informatica di Check Point Harmony Email hanno scoperto che alcuni hacker stanno sostituendo tutto ciò con una semplice immagine. Invece di scrivere una lunga e-mail e rischiare di essere scoperti a causa di errori di battitura o di grammatica cattiva, questi aggressori generano semplicemente un’immagine promozionale – un volantino che informa i destinatari che hanno vinto un premio o sono invitati a partecipare a una sorta di competizione.

Come Funziona la Truffa

L’immagine sarebbe poi collegata ipertestualmente e indirizzerebbe le vittime a una pagina di phishing dove darebbero via informazioni sensibili. A volte è solo un indirizzo e-mail, e altre volte sono password, dati personali identificabili che possono essere utilizzati per l’usurpazione d’identità, e altro ancora.

I destinatari con occhio attento sarebbero in grado di vedere attraverso la frode rapidamente: basta passare il mouse sull’immagine per far apparire l’hyperlink. Questi link non hanno nulla a che fare con i marchi impersonati nelle immagini, il che è un chiaro segnale di allarme che una truffa è in corso.

L’Effetto della Truffa

Tuttavia, i ricercatori affermano che il trucco sta funzionando e che molte persone – invece di eliminare l’e-mail di phishing – finiscono per fare clic sull’immagine e cadere preda degli aggressori. Inoltre, non visualizzando affatto un link, gli hacker stanno riuscendo a bypassare i filtri URL, uno dei metodi più popolari di protezione delle caselle di posta.

Per difendersi da tali attacchi, i ricercatori affermano che i team IT dovrebbero implementare una sicurezza che esamina tutti gli URL e emula la pagina dietro di essi. Dovrebbero anche sfruttare la protezione URL che utilizza le tecniche di phishing come indicatore di un attacco, e implementare software anti-phishing basato sull’IA in grado di bloccare tale contenuto in tutta la suite di produttività.

La comunità cripto su Twitter ha lanciato un avviso dopo che l’account Twitter di Mira Murati, CTO di OpenAI, è stato apparentemente violato e utilizzato per promuovere un falso airdrop di criptovalute. Il 2 giugno, l’account di Murati ha twittato un link che sembrava essere di phishing, promettendo un airdrop di un presunto token ERC-20 chiamato OPENAI, che prende il nome dalla società che ha creato ChatGPT.

Dettagli dell’attacco

Il tweet di Murati promuoveva l’airdrop di un token ERC-20 e collegava a quello che sembra essere un sito web di phishing. L’autore del tweet aveva limitato chi poteva rispondere al tweet, quindi gli altri non erano in grado di avvertire facilmente che il link era una truffa. Alcuni utenti di Twitter teorizzano che Murati sia stata vittima di un attacco SIM-swapping.

Il sito web di phishing

Il sito web condiviso nel tweet è sofisticato e sembra aver copiato direttamente il layout e il design del sito di un vero progetto chiamato ChainGPT con alcune piccole modifiche – principalmente il suo invito a collegare un portafoglio cripto. Un ricercatore di sicurezza della società di sicurezza blockchain Beosin ha detto a Cointelegraph che il sito utilizza un kit disponibile per svuotare i portafogli cripto che “attira i visitatori a firmare richieste”. “Una volta firmata la richiesta, l’attaccante trasferirà gli NFT e i token ERC-20 fuori dal portafoglio della vittima”, ha aggiunto il ricercatore di Beosin.

Gli truffatori hanno pubblicato vari annunci per servizi di hacking sui siti web ufficiali di diversi governi statali, contea e locali, un’agenzia federale, così come numerose università. Gli annunci erano contenuti in file PDF caricati sui siti web ufficiali .gov appartenenti ai governi statali di California, North Carolina, New Hampshire, Ohio, Washington e Wyoming; la contea di St. Louis nel Minnesota, la contea di Franklin in Ohio, la contea di Sussex nel Delaware; la città di Johns Creek in Georgia; e l’Amministrazione federale per la vita comunitaria.

Le vittime dell’attacco

I truffatori hanno anche caricato annunci simili sui siti web .edu di diverse università: UC Berkeley, Stanford, Yale, UC San Diego, University of Virginia, UC San Francisco, University of Colorado Denver, Metropolitan Community College, University of Washington, University of Pennsylvania, University of Texas Southwestern, Jackson State University, Hillsdale College, United Nations University, Lehigh University, Community Colleges of Spokane, Empire State University, Smithsonian Institution, Oregon State University, University of Buckingham nel Regno Unito, e Universidad Del Norte in Colombia.

Il contenuto degli annunci

I PDF collegano a diversi siti web, alcuni dei quali pubblicizzano servizi che affermano di essere in grado di hackerare account Instagram, Facebook e Snapchat; servizi per barare nei videogiochi; e servizi per creare falsi follower. Alcuni dei documenti hanno date che suggeriscono che potrebbero essere online da anni.

Le implicazioni di sicurezza

Mentre questa campagna sembra essere un gioco di SEO apparentemente innocuo per promuovere servizi di truffa, gli hacker malintenzionati avrebbero potuto sfruttare le stesse falle per fare molto più danno, secondo John Scott-Railton, ricercatore senior presso il Citizen Lab. “In questo caso i PDF che hanno caricato avevano solo testo che puntava a un servizio di truffa che potrebbe anche essere malintenzionato per quanto ne sappiamo, ma avrebbero potuto caricare PDF con contenuti malintenzionati”, ha detto.