Od marca, polscy użytkownicy Gmaila padają ofiarą intensywnej kampanii phishingowej prowadzonej przez grupę UNC1151, znaną również jako Ghostwriter. Jak alarmuje CERT Polska, za atakami stoją hakerzy powiązani z rządem Białorusi. Grupa od lat specjalizuje się w wykradaniu dostępu do skrzynek pocztowych.
W ostatnich tygodniach aktywność hakerów wyraźnie wzrosła. CERT Polska podaje, że prawie codziennie pojawiają się nowe domeny wykorzystywane w phishingu, co bardzo niepokoi ekspertów od bezpieczeństwa w globalnej sieci. Atakujący wysyłają starannie przygotowane wiadomości w języku polskim, które udają oficjalne powiadomienia od Google. Informują o "podejrzanej aktywności na koncie", "logowaniu z nowego urządzenia" lub "naruszeniu zasad".
Niebezpieczeństwo dla posiadaczy kont Gmail
Śledztwo wykazało, że wiadomości pochodzą z fałszywych lub przejętych kont Gmail, na przykład z adresów w stylu monitoring.konta[@]gmail[.]com czy serwis.pomoc.techniczna[@]gmail[.]com. Po kliknięciu w link, ofiara trafia na stronę bardzo podobną do prawdziwego panelu logowania Google. Tam podaje login i hasło, a następnie jest proszona o kod jednorazowy z SMS-a lub aplikacji uwierzytelniającej. W ten sposób hakerzy przejmują pełną kontrolę nad kontem.
Hakerzy często stosują też pole BCC, dzięki czemu odbiorca nie widzi, ile osób otrzymało wiadomość. Dodatkowo strony phishingowe są umieszczane na dynamicznie zmieniających się domenach lub na platformach typu Netlify, a czasem nawet na przejętych polskich stronach internetowych. Dynamika i sposób działania internetowych przestępców często się zmienia i dostosowuje do aktywności i przyzwyczajeń użytkowników.
Białoruscy hakerzy atakują konta Gmail Polaków
"Grupa UNC1151/Ghostwriter pozostaje jedną z najbardziej aktywnych grup APT spośród obserwowanych przez zespół CERT Polska. Od wielu lat regularnie przeprowadza ona kampanie phishingowe w celu uzyskania dostępu do skrzynek pocztowych polskich obywateli. Przejęte skrzynki są następnie przeszukiwane pod kątem interesujących z punktu atakujących informacji, takich jak lista kontaktowa (do typowania dalszych celów kampanii), wrażliwe dokumenty czy powiązane konta (np. w mediach społecznościowych), które można przejąć z ich dalszym wykorzystaniem"
CERT Polska podkreśla, że ofiarami nie są przypadkowi użytkownicy. Grupa szczególnie interesuje się osobami z kręgów politycznych, dziennikarzami, naukowcami, pracownikami administracji publicznej, funkcjonariuszami służb oraz aktywistami. Atakowane są również ich rodziny i znajomi. Dzieje się to po to, by dotrzeć do szerszej sieci kontaktów. Po przejęciu skrzynki hakerzy przeszukują ją w poszukiwaniu list kontaktów, poufnych dokumentów i powiązanych kont w mediach społecznościowych.
Eksperci od bezpieczeństwa w sieci biją na alarm, że Google nigdy nie wysyła tego typu komunikatów z losowych adresów Gmail ani nie prosi o podawanie haseł i kodów weryfikacyjnych poprzez linki. Najskuteczniejszą ochroną przed tego rodzaju atakami są klucze sprzętowe, takie jak YubiKey czy Google Titan. W przeciwieństwie do kodów z SMS-a czy aplikacji, nie da się ich przechwycić podczas phishingu. Użytkownicy powinni też dokładnie sprawdzać adres nadawcy, nie klikać podejrzanych linków i natychmiast zgłaszać incydenty na stronie incydent.cert.pl.
***
Bądź na bieżąco i zostań jednym z 91 tys. obserwujących nasz fanpage - polub GeekWeek na Facebooku i komentuj tam nasze artykuły!
