Beveiligingsbedrijf ANY.RUN heeft een nieuw phishingkit blootgelegd dat zich richt op banken, de industrie en overheidsinstanties in de Verenigde Staten, Europa en Australië. Het kit, Wazza genoemd, onderscheidt zich door een meerstaps-routeringsketen die bezoekers eerst filtert voordat ze de daadwerkelijke phishingpagina te zien krijgen: een nagemaakt Adobe-inlogscherm dat werkt via de zogeheten Device Code-flow.
Hoe de routeringsketen werkt
Een bezoeker komt eerst terecht op een wildcard-landingsdomein, in het onderzochte geval boegl-krysl[.]eu, dat de aanvraag doorstuurt naar het endpoint /api/wazza-config. Dat endpoint controleert of de hostname bij een actieve campagne hoort. Daarna neemt de infrastructuur contact op met een domein op workers.dev, dat een clientmarker afgeeft om het bezoek te kunnen volgen, gevolgd door /api/mint-token, dat een kortlevend, ondertekend sessietoken genereert. Dat token wordt vervolgens gevalideerd op een controledomein, dat ook browsertelemetrie checkt en ongewenst verkeer wegfiltert. Pas als een bezoeker al deze stappen doorstaat, komt hij via tussenstappen bij de uiteindelijke phishingpagina terecht.
Die laatste stap is veelzeggend: in plaats van simpelweg een wachtwoord te stelen, zet de Device Code-aanvraag in op het kapen van een actieve inlogsessie, met het vertrouwde Adobe-uiterlijk als dekmantel om de aanvraag routineus te laten overkomen.
Volgens ANY.RUN is precies die opzet de reden waarom Wazza meer is dan een kwaadaardige link. Omdat de infrastructuur eerst bepaalt of een bezoeker de phishingpagina te zien krijgt, zegt een eerste blik op de link weinig over wat er daadwerkelijk achter schuilgaat. Een linkscanner of automatisch detectiesysteem dat de volledige keten niet doorloopt, krijgt mogelijk nooit de echte phishingpagina te zien en beoordeelt de link daardoor te snel als onschuldig. Voor beveiligingsteams die inkomende meldingen onderzoeken, met name bij IT-dienstverleners die alerts voor meerdere klanten tegelijk afhandelen, betekent dit dat een op het oog onschuldige link alsnog uitgebreid onderzoek vergt om vast te stellen wat hij daadwerkelijk aflevert.
ANY.RUN trof Wazza-activiteit aan in de Verenigde Staten, Europa en Australië, met banken, fabrikanten en overheidsinstanties onder de getroffen sectoren. Dat zijn aantrekkelijke doelen omdat ze gevoelige rekeningen, bedrijfsprocessen en vertrouwelijke informatie beheren, maar ANY.RUN benadrukt dat de achterliggende routeringstechniek op elke sector is toe te passen. Welk merk als dekmantel dient, kan per campagne verschillen.
Voor Nederlandse organisaties in deze sectoren is het belangrijkste signaal dat een opvallend onschuldig ogende link geen garantie biedt. Wees voorzichtig met onverwachte verzoeken om in te loggen via een scherm dat zich voordoet als een vertrouwde dienst zoals Adobe, en controleer bij twijfel altijd zelf, via een nieuw browservenster en het officiële adres, of de aanvraag klopt. Beveiligingsteams doen er goed aan phishinglinks te beoordelen in een geïsoleerde omgeving die de volledige doorverwijzing kan volgen, in plaats van op basis van de eerste link alleen.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Vertrouw een link niet op het eerste gezicht: Wazza beoordeelt bezoekers eerst voordat het de echte phishingpagina toont, waardoor een snelle scan van de link weinig zegt over wat daadwerkelijk achter de deur schuilt. Wees terughoudend bij onverwachte aanmeldverzoeken die een vertrouwd merk als Adobe of Microsoft gebruiken en controleer dit soort verzoeken altijd zelf via het officiële adres in een nieuw browservenster.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.