นักวิจัยด้านความปลอดภัยจาก Proofpoint ได้เผยการตรวจพบกลุ่ม APT ที่ชื่อ TA2552 ใช้วิธีฟิชชิงโดยการใช้ระบบ OAuth2 (มาตรฐานของระบบการยืนยันตัวตนและจัดการสิทธิ์การเข้าใช้งานในระบบต่างๆ ที่จะเปิดให้ third-party application เข้าถึงและจัดการสิทธิ์บัญชี) ในการเข้าถึงบัญชี Office 365 เพื่อขโมยรายชื่อติดต่อและอีเมลของผู้ใช้

กลุ่ม TA2552 ได้ทำการแอบอ้างเป็น Servicio de Administración Tributaria (SAT) ซึ่งเป็นหน่วยงานด้านภาษีของเม็กซิโก, Netflix Mexico และ Amazon Prime Mexico ทำการส่งอีเมลที่สร้างขึ้นมาเป็นพิเศษและมีเนื้อหาอีเมลที่เกี่ยวข้องภาษีและเนื้อหาที่เกี่ยวข้องกับการพบปัญหาในบัญชีผู้ใช้ Netflix Mexico และ Amazon Prime Mexic เมื่อเหยื่อทำการคลิกลิงก์ที่อยู่ภายใน เหยื่อจะถูกรีไดเร็คไปยังการลงชื่อเข้าใช้บัญชี O365 (Office 365) และเมื่อลงชื่อเข้าใช้ O365 เว็บไซต์ของผู้ประสงค์ร้าย ที่ถูกสร้างด้วยการลงทะเบียนผ่าน Namecheap และโฮสต์บน Cloudflare จะร้องขอสิทธิ์การเข้าถึงแอปพลิเคชันแบบ read-only เมื่อผู้ใช้กดยอมรับก็จะเปิดทางให้ผู้ประสงค์ร้ายสามารถเข้าถึงรายชื่อผู้ติดต่อ, โปรไฟล์และอีเมลของผู้ใช้

จาการอนุญาตสิทธิ์ในการเข้าถึงข้อมูลจะทำให้ผู้ประสงค์ร้ายสามารถสอดแนมในบัญชีเพื่อทำการขโมยข้อมูลหรือแม้แต่การขัดขวางข้อความการร้องขอรีเซ็ตรหัสผ่านจากบัญชีอื่น เช่น Online Banking

ทั้งนี้ผู้ใช้ควรมีความระมัดระวังในการใช้งานอีเมล เมื่อพบข้อความและเนื้อหาอีเมลมาจากหน่วยงานหรือระบบที่เราไม่รู้จักควรทำการตรวจสอบเเหล่งที่มาของอีเมลเพื่อเป็นการป้องกันการตกเป็นเหยื่อของผู้ประสงค์ร้าย

ที่มา : threatpost

 

 

นักวิจัยจาก Sophos ได้เปิดเผยว่าพบแคมเปญฟิชชิ่งรูปแบบใหม่ที่กำหนดเป้าหมายไปยังเจ้าของบล็อกเกอร์และเจ้าของเว็บไซต์ด้วยอีเมลที่ปลอมแปลงมาจากผู้ให้บริการโฮสต์ติ้ง ด้วยการเสนอการอัปเกรดโดเมนเพื่อใช้งาน DNSSEC

นักวิจัยกล่าวว่าผู้ประสงค์ร้ายนั้นจะใช้ข้อมูลจาก WHOIS เพื่อส่งอีเมลฟิชชิ่งไปหาเป้าหมายและจะทำการปลอมแปลงเป็นผู้ให้บริการ WordPress, NameCheap, HostGator, Microsoft Azure และบริษัทโฮสติ้งที่มีชื่อเสียงอื่นๆ โดยเนื้อหาอีเมลจะเสนอให้ทำการอัพเกรด DNS ของเว็บไซต์ให้ไปใช้โปรโตคอล DNS ที่ใหม่กว่าคือ DNSSEC เพียงเเค่ผู้ใช้ทำการคลิกที่ลิงก์เพื่อเปิดใช้งานฟีเจอร์นี้

นักวิจัยจาก Sophos อธิบายว่าโปรโตคอล DNSSEC นั้นไม่ใช่สิ่งที่เจ้าของเว็บไซต์จะทำการติดตั้งเอง โดยการติดตั้งและอัพเกรดนั้นจะต้องถูกทำการตั้งค่ามาจากผู้ให้บริการโฮสติ้ง ส่วนเป้าหมายของแคมเปญนั้นคือการขโมย credential ของผู้ใช้งานที่ไม่สงสัยหรือไม่มีความรู้เกี่ยวกับโปรโตคอล DNSSEC

ข้อเเนะนำ
ผู้ใช้งานควรทำการตรวจสอบอีเมลทุกครั้งที่ทำการเปิดอ่านและให้ทำการระมัดระวังในการคลิกลิ้งค์จากอีเมลหรือแม้เเต่การกรอกแบบฟอร์มจากเว็ปไซต์และระบบที่ไม่คุ้นเคย เพื่อป้องกันการถูกขโมยข้อมูลของผู้ใช้

ที่มา: bleepingcomputer