Исследователи Barracuda: злоумышленники обходят защиту, генерируя фишинговые страницы прямо в браузере жертвы

Исследователи безопасности компании Barracuda проанализировали кампанию фишинга, в которой злоумышленники заменяют традиционный фишинговый веб‑сайт страницей, создаваемой непосредственно в браузере жертвы с использованием blob‑URL. Blob‑URL — это временный адрес, создаваемый браузером, который указывает на контент, хранящийся локально в памяти, а не на удалённом веб‑сайте. В результате жертвы перенаправляются через законные сервисы Microsoft, что делает атаку более достоверной и сводит на нет привычные признаки опасности.

Отсутствие традиционной фишинговой страницы и постоянного URL означает, что нет ресурса, который можно было бы заблокировать заранее: вредоносный контент не размещается на обычной веб‑странице и существует только в рамках конкретной сессии браузера. Это лишает защитные решения возможности заранее получить, проанализировать или добавить в блок‑лист постоянный адрес.

В ходе атаки злоумышленники повсеместно злоупотребляют доверенными сервисами Microsoft. Вместо перенаправления пользователей на явные фишинговые домены они прокладывают маршрут через инфраструктуру Microsoft, включая страницы входа и корпоративные коммуникационные сервисы. Поскольку пользовательскую активность сопровождает видимость пребывания внутри авторитетных сервисов, у жертвы может не возникнуть подозрений.

Фишинговая логика преимущественно выполняется в браузере. После загрузки фишинговой страницы, основанной на blob‑URL, в неё регистрируется service worker — компонент браузера, способный управлять сетевыми запросами и поведением страницы в фоновом режиме. Часть сценария также выполняется внутри sandboxed iframe — изолированного окна браузера, встроенного в страницу. В связке эти элементы позволяют контролировать навигацию, управлять запросами и координировать фишинговый сценарий без опоры на традиционный фишинговый сайт.

Атака обеспечивает динамическое управление со стороны злоумышленников: рабочий процесс получает команды от бэкенд‑инфраструктуры через механизмы обмена сообщениями браузера. Поскольку перенаправления и поведение задаются динамически, а не жёстко прописаны, операторы могут изменять назначения и логику в реальном времени.

Для повышения доверительности переписка содержит файл‑приглашение календаря в качестве безобидного вложения. Хотя этот файл не является частью вредоносной нагрузки, он делает сообщение похожим на обычную деловую коммуникацию и повышает доверие получателя.

По словам одного из аналитиков Barracuda, эта кампания демонстрирует эволюцию фишинга за пределы поддельных сайтов и подозрительных доменов, устраняя многие индикаторы, на которые традиционно опираются команды безопасности. В связи с этим организациям рекомендуется сместить фокус с блокировки известных фишинговых адресов на обнаружение вредоносного поведения и усиление средств управления идентификацией.

Предложенные контрмеры и рекомендации включают:

  • мониторинг OAuth‑авторизаций и цепочек перенаправлений на предмет нетипичных или неожиданных назначений;
  • анализ активности браузера, связанной с blob‑URL, особенно когда они используются для отображения страниц входа или аутентификационных рабочих процессов;
  • обнаружение подозрительных регистраций service worker, связанных с внешним контентом;
  • применение устойчивых к фишингу методов многофакторной аутентификации, таких как ключи безопасности FIDO2 и passkey;
  • использование почтовых средств защиты, анализирующих полный путь клика, а не полагающихся исключительно на первоначальный адрес;
  • обучение пользователей осторожному отношению к неожиданным запросам на подписание документов, даже если ссылки выглядят как принадлежащие доверенной инфраструктуре Microsoft.

Исследователи подчёркивают, что такие угрозы требуют адаптации средств защиты и внимания к аномальному поведению в браузере и цепочках авторизации, а не только к известным вредоносным доменам и статическим индикаторам.