LinkedIn Smart Links ถูกนำไปใช้ในการโจมตีแบบ Email Phishing

Smart Links เป็นบริการหนึ่งสำหรับ LinkedIn Sales Navigator และ Enterprise users ที่สามารถส่งเอกสารได้ถึง 15 ชุดโดยใช้ลิงก์ที่สร้างจาก LinkedIn และยังสามารถติดตามสถานะว่าใครเข้าเปิดดูลิงก์แล้วหรือยัง
Smart Link ของ LinkedIn จึงถูกนำไปใช้ประโยชน์ในการส่ง Phishing เพราะสามารถหลีกเลี่ยงการตรวจสอบจากอุปกรณ์ security ต่าง ๆ ได้ โดยทีมวิเคราะห์ภัยคุกคาม Cofense พบว่าแคมเปญนี้มุ่งเป้าไปที่ประเทศสโลวาเกีย โดยอ้างว่าเป็นบริการไปรษณีย์ของรัฐในสโลวาเกีย

จากข้อความเป็นภาษาสโลวาเกีย อ้างว่ามีของรอส่งแต่ต้องทำตามขั้นตอนชำระเงินก่อนถึงจะทำการจัดส่งได้ ซึ่งจำนวนเงินไม่สูงมากนักทำให้เป้าหมายอาจจะหลงเชื่อได้ ในอีเมลจะมี URL สมาร์ทลิงก์ที่ฝังอยู่ <hxxps://www[.]linkedin[.]com/slink?code=g4zmg2B6/> โดยทั่วไป การ Redirect Smart Links มีจุดประสงค์เพื่อการโฆษณา และโปรโมทเพจทางการตลาด ซึ่งเป้าหมายที่แท้จริงของผู้โจมตีไม่ใช่เพื่อรับเงิน แต่เป็นการขโมยข้อมูลบัตรเครดิต เช่น หมายเลขบัตร ชื่อผู้ถือ วันหมดอายุ วันที่ และ CVV ด้านหลังของบัตร

หลังจากผู้ใช้งานกรอกข้อมูล และคลิกปุ่ม "ส่ง" จะได้รับข้อความยืนยันว่าคุณได้ทำการชำระเงินแล้ว จากนั้นเว็บไซต์ Phishing จะเปลี่ยนเส้นทางไปยังหน้าที่ยืนยันรหัส SMS ในขั้นตอนสุดท้าย ซึ่งขั้นตอนเหล่านี้มีวัตถุประสงค์คือทำให้ขั้นตอนการชำระเงินดูเหมือนถูกต้อง และเป็นไปตามกระบวนการการชำระเงินปกติ

BleepingComputer ได้ติดต่อไปยัง LinkedIn เพื่อสอบถามว่ามีแผนที่จะใช้มาตรการป้องกันเพื่อป้องกันการดำเนินการลักษณะนี้หรือไม่ แต่ยังไม่ได้รับการตอบกลับ

อัปเดตเมื่อ 22 กันยายน 2565
ทีมงาน LinkedIn กำลังหาทางดำเนินการกับผู้ที่พยายามขโมยข้อมูลของผู้ใช้งานผ่าน Email Phishing อีกทั้งยังให้ความรู้กับผู้ใช้งานเรื่องพฤติกรรมที่น่าสงสัยเพื่อให้สามารถป้องกันตนเองได้ รวมไปถึงการเปิดการใช้งาน two-step verification ถึงแม้ว่าแคมเปญดังกล่าวจะมีเป้าหมายไปที่ชาวสโลวาเกียเพียงอย่างเดียวก็ตาม แต่การที่ผู้โจมตีนำ LinkedIn Smart Link ไปใช้ในทางที่ผิดนั้นเป็นเรื่องที่สำคัญเป็นอย่างมาก

Indicators of Compromise

hXXps://sk-1-b9833c[.]ingress-florina[.]ewp[.]live/login/cc/6c0924840f28f96026147e2cde8420af/index[.]php?id=BO0uBtRF3f7
hXXps://sk-1-b9833c[.]ingress-florina[.]ewp[.]live/login/cc/6c0924840f28f96026147e2cde8420af/card[.]php

IP
63[.]250[.]43[.]136
63[.]250[.]43[.]137

ที่มา : bleepingcomputer