Над Cloudflare R2 сгущаются тучи: оказывается, хранилище хорошо подходит для фишинга

Над Cloudflare R2 сгущаются тучи: оказывается, хранилище хорошо подходит для фишинга

Netskope обнаружила, что мошенники используют сервис все чаще.

image

Последние 6 месяцев злоумышленники стали в десятки раз чаще использовать Cloudflare R2 для фишинговых кампаний. При этом возросло общее число облачных сервисов, из которых пользователь может загрузить вредоносные программы — до 167. В первую пятерку вошли Microsoft OneDrive, Squarespace, GitHub, SharePoint и Weebly.

«Цель большинства фишинговых кампаний — данные для входа в систему Microsoft, хотя есть и сайты, нацеленные на Adobe, Dropbox и другие облачные приложений», — заявил Ян Майкл, исследователь безопасности из Netskope.

Cloudflare R2, аналогичный Amazon Web Service S3, Google Cloud Storage и Azure Blob Storage — это популярное облачное хранилище. Netskope обнаружила, что хакеры эксплуатируют Cloudflare R2 не только для распространения поддельных страниц, но и для обхода систем безопасности. В этом помогает сервис Turnstile, заменяющий CAPTCHA-тест.

Таким образом алгоритм не дает онлайн-сканерам вроде urlscan.io добраться до настоящего мошеннического сайта, поскольку CAPTCHA заканчивается неудачей.

Для большей надежности вредоносный контент загружается только при определенных условиях.

«Вредоносному веб-сайту необходима метка времени после символа решетки, чтобы отобразить реальную фишинговую страницу», — пояснил Майкл.

Около месяца назад Netskope выявила еще одну кампанию, которая использовала поддельные страницы авторизации, размещенные в сервисе AWS Amplify. Целью этой кампании была кража банковских данных, учётных записей Microsoft 365 и данных платёжных карт пользователей с помощью бота в Telegram.


Ваша приватность умирает красиво, но мы можем спасти её. Присоединяйтесь к нам!