互联网上最为猖獗的网络犯罪即服务行动之一最近遭遇挫折:11 月,Sophos MDR 注意到 Rockstar2FA“网络钓鱼即服务”(PaaS) 平台的检测突然消失了。
根据 Sophos MDR 收集的遥测数据,运行该服务的组织似乎经历了基础设施至少部分崩溃,与该服务相关的页面不再可访问。这似乎不是因为删除操作,而是由于服务后端的一些技术故障。
Rockstar2FA 是名为 DadSec 的网络钓鱼服务(之前与微软的 Storm-1575 威胁组织有关)的升级版本,该服务消失的两周前,TrustWave 发布了一份详细介绍网络钓鱼即服务操作的研究报告。网络钓鱼服务基础设施的元素现在已无法访问,返回 HTTP 522 响应 - 表明它们已与 Cloudflare 内容交付网络断开连接。与该服务的命令和控制相关的 Telegram 频道似乎也已下线。
在 Rockstar2FA 被破坏后的几周内,我们观察到一组类似的 PaaS 门户的使用量激增,一些研究人员将这些门户标记为“FlowerStorm”——这个名字源于许多钓鱼页面本身的 HTML 页面标题中使用与植物相关的术语(例如“花”、“芽”、“开花”和“叶”)。FlowerStorm 与 Rockstar 和另一个由 Telegram 机器人驱动的 PaaS 平台 Tycoon 有许多共同的功能。
你想成为钓鱼大哥吗?
Rockstar2FA 是一个(或许曾经是)PaaS 套件,它模仿了常用云和软件即服务平台的合法凭证请求行为。潜在的网络犯罪分子通过 Telegram 购买和控制网络钓鱼活动,并获得一个独特的网络钓鱼页面和 URL 以用于他们的活动。通过传递给目标的链接进行的访问会传递网络钓鱼;访问网站本身的域会被路由到“诱饵”页面。Rockstar 的诱饵页面通常以汽车为主题。
访问该 URL 的访问者将被引导至一个伪造的 Microsoft 登录页面。该页面会捕获凭据和多因素身份验证令牌,并通过 HTTP POST 消息将其发送到攻击者控制的“后端服务器”页面 — 一个 PHP 页面,其名称看似是一个随机数字(如图 2 所示)。这些后端服务器主要位于 .ru、.de 和 .moscow 注册域上。诱饵页面通常与后端服务器托管在同一台主机上。
大多数钓鱼页面都位于 .com、.de、.ru 和 .moscow 顶级域名上。Rockstar2FA 服务在任何给定时间都使用这些和其他顶级域名中的大约 2,000 个域名。
然而,从 2024 年 6 月开始,其中一些页面使用了Cloudflare Pages 无服务器部署(使用域 pages[.]dev),以及作为 Cloudflare 工作程序部署的代码(在域 worker[.]dev),同时仍然依赖后端服务器来窃取网络钓鱼数据。这些网络钓鱼页面使用的子域名似乎不是使用域生成算法 (DGA) 创建的,相反,它们似乎是由该工具包的操作员手动输入的。有些是为了模拟特定的目标域而制作的(例如 4344655-proofpoint-online-secure.pages[.]dev)。但其他一些类似于键盘垃圾邮件:
-
当你创建任何相同的域时,域使用将变成lite.pages[.]dev
-
pppaaaaulhaaaammmlinnnnbuiiildddeeeerrsssssnzzzzzozzzz.pages[.]dev
这些域名仅占与 Rockstar 相关的整体 URL 的一小部分,并且通常与网络钓鱼门户本身相关。
技术困难
11 月 11 日,Rockstar2FA 的基础设施突然中断。重定向到诱饵页面失败,导致 Cloudflare 出现 522 错误,表明提供该页面的服务器不再与 Cloudflare 通信。
图 5. 与诱饵页面域名的连接失败
此外,门户页面开始出现故障。之前,单击 Cloudflare“我是人类”测试会导致加载伪造的 Microsoft 登录门户,而现在加载的只是动画 Outlook 徽标。门户页面的其余脚本失败,因为与后端服务器的连接(通过 POST 请求)已断开。
pages[.]dev 托管的门户页面也存在同样的问题,它们在尝试连接到后端 URL 时也会挂起。自 11 月以来,我们不断看到在 pages[.]dev 子域上设置的新钓鱼门户页面,但它们都无法连接到后端服务器。
这表明运营商仍在努力让其基础设施恢复正常。这可能是由于网络托管问题或困扰 Rockstar2FA 运营商的其他技术问题。用于运行该服务的 Telegram 机器人似乎也已关闭,这表明运营受到了某种更大规模的干扰。
冉冉升起的摇滚明星(?):FlowerStorm
在 Rockstar 中断后大约一周半的时间里,我们看到 FlowerStorm 的活动激增,尽管我们还发现其中许多网站也受到了干扰。FlowerStorm PaaS 平台至少从 2024 年 6 月起就一直处于活跃状态。
通过查看 FlowerStorm 样本的行为,我们发现门户使用相同的 URL 向目标发送身份验证请求,就像向“后端门户”发送通信请求一样 - 在本例中,是向使用文件“next.php”的后端服务器发送请求。
在这种情况下,根据 EntraID 登录日志,用于获取凭证的相同 IP 地址也用于对用户帐户进行身份验证。
钓鱼页面与后端服务器 PHP 文件的通信利用了以下预期字段和通信:
字段描述和预期值
场地/赛事 | 描述 | 值/示例 |
做 | 指定所请求的操作。 | “check” – 用于检查操作 “login” – 用于登录事件 |
检查验证 | 服务器定期检查身份验证方法的状态。 | – 执行:“checkVerify”- 令牌:<token>- 用户:<email>- 服务:“notif”- 密钥:<base64_encoded_password> |
电子邮件 | 用户的电子邮件地址。 | <电子邮件> |
经过 | 用户的密码,在“登录”时需要输入。 | base64编码的密码 |
令牌 | 包含会话信息的 JWT。 | <JWT_Token> |
预期反应和解释
行动 | 回复 | 描述 |
查看 | { “状态”:“成功”, “横幅”:空,“背景”:空,“federationLogin”:“”, “类型”:“办公室” } | 表明电子邮件有效并发出令牌。 |
登录 | { “status”:“验证”, “message”:“请验证您的帐户”, “method”:“<base64 编码的方法响应>”, “token”:“<JWT_Token>”, “key”:“<base64_encoded_password>”, “user”:“<email>” } | 提示使用相同的 JWT 进行 MFA 会话跟踪。 |
方法 | { “status”: true, “data”: “<base64 编码的会话数据>”, “number”: 59 } | 发布用于 MFA 的特定会话数据。 |
方法(数据解码) | [{ “authMethodId”:“PhoneAppNotification”, “数据”:“PhoneAppNotification”, “isDefault”:true},{ “authMethodId”:“PhoneAppOTP”, “数据”:“PhoneAppOTP”, “phoneAppOtpTypes”:[“MicrosoftAuthenticatorBasedTOTP”]} ] | 详细说明用户可用的多因素身份验证方法。 |
检查验证(失败) | { “status”: false, “message”: “验证失败”, “token”: “<JWT_Token>” } | 服务器开始检查 MFA 是否接受。 |
检查验证(成功) | { “<string_with_session_cookies>” } | MFA 已被接受,响应包含用于身份验证的会话 cookie。 |
并非所有钓鱼页面都使用相同的后端服务器结构。一些门户网站将使用与钓鱼登录页面托管在同一域上的 next.php。EntraID 身份验证日志中的 IP 地址对于这些门户网站来说并不相同。例如,在以下情况下,钓鱼页面 protectionwearsupplies[.]doclawfederal[.]com/wQBPg/ 将其 post 请求发送到具有相同域名的不同主机:
Rockstar2FA/ FlowerStorm 相似之处
FlowerStorm 与 Rockstar2FA 有很多相似之处,无论是其钓鱼门户页面的格式还是与后端服务器的连接。
文档对象模型
FlowerStorm 门户页面的 HTML 在过去六个月中发生了变化,但仍保留了与 Rockstar 页面类似的文档对象模型 (DOM) 内容。旧版和新版 FlowerStorm 钓鱼页面的 HTML 页面(如 Rockstar2FA 的页面)在 HTML 注释中包含随机、不相关的文本字符串,使用 Cloudflare“旋转门”键提示检查传入的页面请求,并具有其他类似的结构和内容,如下所示:
新花风暴 | 旧版 Rockstar2FA | 老花风暴 | |
标题 | 牛至叶 | 与众不同 | 接骨木 |
旋转闸门 Sitekey | 0x4AAAAAAA0_fAGSk-ZDbrja | 0x4AAAAAAhiG1SBeMjCx4fG | 0x4AAAAAAceMeRudDiJWXJJ |
表单提交脚本 | 茴香花 | 瑙蒂利 | 勇敢 |
评论主题 | 文学/学术 | 汽车、健身、水果 | 汽车、生活方式、水果 |
可见安全文本 | “初始化浏览器安全协议” | “正在运行浏览器验证以保护您的安全” | “正在进行浏览器安全验证以确保您的安全” |
上表中的元素在下面的屏幕截图中被标注出来,显示了每个钓鱼门户的 HTML 代码。HTML 文档标题标签用红色框突出显示,注释用橙色突出显示,旋转钥匙用黄色突出显示,脚本函数名称用绿色突出显示,可见的“安全”文本用蓝色突出显示。所有这些似乎都遵循相同的 HTML 生成模板,尽管注释和标题命名方案引用了不同的文本数组。
虽然其他中间人网络钓鱼工具包也存在对 Cloudflare CDN 安全旋钮的滥用,但 FlowerStorm 和 Rockstar 网络钓鱼门户的结构至少表明它们具有共同的起源。
凭证窃取
FlowerStorm 所采用的通信方法与之前的 Rockstar2FA 门户非常相似,仅在字段名称和响应方面略有不同:
公共字段
花风暴 | Rockstar2FA | 共通性 | |
PHP 通信 | Next.php | <数字>.php | 两者都与托管 PHP 文件的后端服务器进行通信。用于数据泄露和数据通信。 |
电子邮件验证 | “做”:
“检查”电子邮件验证 |
“do”:“check” 进行电子邮件验证 | 两者都支持电子邮件验证作为基本功能。 |
登录事件 | “do”:“login”用于身份验证 | “do”:“le”用于身份验证 | 两者都方便登录操作。 |
密码 | “pass”:包含 base64 编码的密码 | “px”:包含明文密码 | 两者都将密码传达给后端服务器。 |
会话跟踪 | 用于会话跟踪的“token”。 | “sec” 用于会话跟踪 | 两者都提供会话跟踪令牌。 |
域名注册和发现
这两个网络钓鱼工具包基础设施的域名注册模式和通过 URLScan 提交检测新页面的模式似乎遵循不同的模式,尤其是在比较域名活动和两者的识别时。
从 10 月 1 日到 11 月 11 日,FlowerStorm 和 Rockstar Decoy 页面检测和域名注册的高峰和低谷呈现出非常相似的趋势,通常同时上升和下降。这种行为可能表明这两项活动共享基础设施、运营目标重叠或时间协调。11
月 11 日之后,这两种模式出现分歧:
-
花风暴开始出现更强劲的独立峰值,尤其是在 11 月 22 日至 26 日左右
-
Rockstar Decoy 页面活动在 11 月 11 日之后大幅减少,这与之前提到的停止运营一致。
花卉风暴目标
FlowerStorm 的总体性质是付费钓鱼服务,这意味着 FlowerStorm 的运营商无法选择谁成为钓鱼攻击的目标。这是客户的决定。但分析参与者进入系统后会做什么对防御者来说很有用。
根据我们对 FlowerStorm 的检测信息,FlowerStorm 用户选择的绝大多数目标 (84%) 位于美国、加拿大、英国、澳大利亚和意大利。美国组织是最常被攻击的目标,超过 60% 的案例与主要位于美国境内的组织有关。加拿大是下一个最受攻击的国家,仅占 8.96%。总体而言,Sophos 检测到的 FlowerStorm 网络钓鱼攻击的 94% 目标是北美和欧洲组织的员工。除这些地区外,新加坡、印度、以色列、新西兰和阿拉伯联合酋长国占剩余 5% 的目标。
最受打击的行业是服务业,尤其针对工程、建筑、房地产、法律服务和咨询公司。
结论
我们无法高度自信地将 Rockstar2FA 与 FlowerStorm 联系起来,只能指出,由于部署的工具包内容相似,这些工具包至少反映了共同的起源。相似的域名注册模式可能反映了 FlowerStorm 和 Rockstar 的协同工作,尽管这些匹配模式也可能更多地由市场力量而非平台本身推动。11 月 11 日之后的活动分歧可能反映了:
-
其中一个集团的战略支点
-
人员变动影响运营
-
共享基础设施的中断
-
刻意分离操作以避免被发现
此外,FlowerStorm 的快速发展也导致其运营中出现一些错误和配置错误,这也使其很容易受到干扰。这些错误也为我们提供了一个机会,让我们可以更仔细地检查其后端运营——我们将继续这样做。
Sophos X-Ops 的 Github 存储库中提供了与 FlowerStorm 相关的攻击指标列表。
原文始发于微信公众号(OSINT研习社):全球最大钓鱼平台 Rockstar 2FA 失败,“FlowerStorm”新帝登场
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论