Новая фишинговая кампания с QR-кодами: как Microsoft Sway стал инструментом для кражи ваших учетных данных

Исследователи в области кибербезопасности сообщают о новой фишинговой кампании с использованием QR-кодов, которая использует платформу Microsoft Sway для размещения поддельных страниц. Это снова подчеркивает, как злоумышленники могут использовать легальные облачные сервисы для своих целей.

Использование легальных облачных приложений, таких как Microsoft Sway, придает доверие к содержимому, что помогает злоумышленникам обманывать пользователей. Когда жертва открывает страницу Sway, она уже находится в своем аккаунте Microsoft 365, что еще больше убеждает ее в легитимности страницы. Sway может быть расшарен через ссылку или встроен в веб-страницу с помощью iframe.

Атаки в основном направлены на пользователей в Азии и Северной Америке, а особенно на сектора технологий, производства и финансов.

Microsoft Sway — это облачный инструмент для создания новостных рассылок, презентаций и документации. Он является частью семейства продуктов Microsoft 365 с 2015 года.

С июля 2024 года был зафиксирован 2000-кратный рост трафика на уникальные фишинговые страницы Microsoft Sway, конечная цель которых — кража учетных данных Microsoft 365. Для этого используются поддельные QR-коды, размещенные на Sway, которые при сканировании перенаправляют пользователей на фишинговые сайты.

Некоторые кампании используют Cloudflare Turnstile для обхода систем статического анализа URL. Также злоумышленники применяют тактику "человек посередине" (AitM), используя поддельные страницы входа для кражи учетных данных и кодов двухфакторной аутентификации.

Использование QR-кодов для перенаправления на фишинговые сайты ставит защитников в затруднительное положение, так как URL скрыт внутри изображения. Когда пользователь получает QR-код, он может использовать другое устройство, например мобильный телефон, для его сканирования, что делает его более уязвимым.

Фишинговые атаки с использованием Microsoft Sway не являются новостью. В апреле 2020 года кампания с названием PerSwaysion успешно взломала корпоративные почтовые аккаунты 156 высокопоставленных сотрудников из разных стран.

С развитием контрмер от производителей безопасности, фишинговые кампании становятся все более изощренными. Например, новым приемом фишинга стало создание QR-кодов с использованием символов Unicode вместо изображений, что представляет значительную трудность для обнаружения традиционными методами.

Как защититься от данной угрозы: Unicode QR-коды обходят системы обнаружения, которые сканируют на наличие подозрительных изображений, так как они полностью состоят из текстовых символов и могут правильно отображаться на экранах. Это делает их особенно опасными и осложняет задачи по их выявлению.