2500 osób kliknęło w dwadzieścia minut, a my już wiemy, jak napastnik się dostał do środka

Wczoraj pisaliśmy o phishingu, który wyszedł z własnego systemu pocztowego Brevo do klientów Trezora, BitBoxa i CoinTrackingu. Obie firmy opublikowały już liczby i warto się przy nich na chwilę zatrzymać.

Konto Trezora w Brevo zawierało około 347 000 adresów dobrowolnie zapisanych na newsletter. Wszystkie 347 000 dostało fałszywą wiadomość "Critical Security Alert: STM32 Entropy Vulnerability". Około 2500 osób kliknęło w link, zanim Trezor zdjął domenę na poziomie DNS, dwadzieścia minut po tym, jak wiadomości ruszyły. Samo kliknięcie nie było jeszcze katastrofą, bo strona prosiła następnie o pobranie aplikacji i wpisanie w nią kopii zapasowej portfela, i to tam pieniądze naprawdę znikają, ale 2500 kliknięć w dwadzieścia minut nieźle pokazuje, co robi dobrze zrobiony phishing, kiedy przychodzi z adresu przechodzącego każdą istniejącą kontrolę autentyczności.

Brevo wyjaśniło od tego czasu drogę wejścia i jest ona na tyle zwyczajna, że aż niepokojąca. Napastnik założył własne konto w Brevo, włączył logowanie jednokrotne i zaprosił do niego prawdziwych użytkowników Brevo. Kiedy te zaproszenia zostały przyjęte, granica autoryzacji ustąpiła, a napastnik mógł sięgnąć do każdej organizacji, do której zaproszone osoby miały dostęp. Licznik przesunął się ze 120 kont podanych tego samego dnia do 138 łącznie: sześciu użyto do wysyłki phishingu, z kolejnych 43 wyeksportowano listy kontaktów, a 93 nie wykazały niczego istotnego. Dostęp zamknięto całkowicie 10 września o 11:30 czasu CEST.

Trezor traktuje teraz wszystkie 347 000 adresów jako znane napastnikowi i prawdopodobnie nadające się do ponownego użycia, co jest rozsądnym założeniem dla każdego, kto był na tej liście. Spodziewaj się, że kolejna próba będzie lepiej wymierzona. Jeśli kliknąłeś i coś pobrałeś, sprawdzić trzeba to, co jest teraz zainstalowane: kontrola bezpieczeństwa w Tendvane pod kątem niechcianego oprogramowania wypisuje programy i dodatki do przeglądarki obecne na twoim komputerze, łącznie z tymi, które przyszły bez przedstawienia się.