Una campagna di phishing che si finge un invito ad anteprima della tecnologia di Anthropic è arrivata nelle caselle protette da Proofpoint Secure Email Gateway e Microsoft Defender for Office 365, secondo i risultati di Cofense riportati da Dark Reading. I messaggi prendono di mira le credenziali degli account Google e Microsoft, sfruttando infrastrutture legittime per webinar, link abbreviati e controlli CAPTCHA per eludere i controlli.
L'attaccante, non identificato, invia le email in tutto il mondo dallo scorso settembre. Ai destinatari viene proposta un'anteprima presumibilmente esclusiva di un «nuovo strumento IA per i social media» di Anthropic. Le prove descritte non permettono di stabilire quanti account, se pure ce ne siano, siano stati compromessi.
Nonostante arrivino nelle caselle protette, i messaggi presentano incongruenze evidenti. Il nome del mittente è «Austin from nthropic», le righe dell'oggetto contengono un errore grammaticale e le email non riportano il marchio Anthropic. Provengono da customercare@gotowebinar[.]com, un indirizzo condiviso e legittimo a disposizione degli utenti di GoTo Webinar per la distribuzione di informazioni sui webinar.
Il link di registrazione portava inizialmente a una falsa pagina di riunione Zoom, creando un'altra discrepanza tra l'invito e la sua destinazione. La pagina offriva le opzioni di accesso unico (single sign-on) di Google o Microsoft. Dark Reading ha riferito che il percorso Google non richiedeva una password, limitando così ciò che quella parte del flusso di raccolta delle credenziali poteva raccogliere.
Il ricercatore di Cofense Jacob Malimban ha dichiarato a Dark Reading che, a partire dal 28 ottobre, l'attaccante è passato dall'impersonare Zoom al falsificare il sito web di Anthropic.
Come il flusso di phishing ostacola l'analisi
Cofense ha individuato diverse caratteristiche che potrebbero aiutare a spiegare il passaggio delle email attraverso i prodotti di sicurezza. L'indirizzo mittente condiviso di GoTo Webinar conferisce ai messaggi una fonte di consegna legittima, mentre un URL di registrazione abbreviato con Zapier nasconde il dominio di destinazione a un'ispezione immediata.
Due controlli CAPTCHA aggiungono ostacoli per i difensori. Un CAPTCHA di Cloudflare compare prima della falsa pagina di Zoom o di Anthropic ed è pensato per ostacolare gli scanner automatici. Un secondo controllo si trova tra quella pagina e la falsa pagina di accesso unico.
Malimban ha descritto il secondo controllo come un meccanismo già usato in alcuni kit di phishing per rilevare strumenti di analisi automatizzati e umani, individuare indirizzi IP proxy e bloccare l'accesso tramite servizi VPN e browser Tor. Queste barriere possono rendere più difficile per gli strumenti di sicurezza e per gli investigatori raggiungere la pagina di raccolta delle credenziali.
Cofense non ha potuto confermare se l'intelligenza artificiale generativa abbia contribuito a produrre la campagna. Malimban ha affermato che le differenze tra le false pagine di Zoom e la comparsa della successiva imitazione di Anthropic ne suggerivano l'uso. Resta una valutazione, non una spiegazione accertata di come siano state create le pagine.
Per le organizzazioni, la conseguenza documentata è che questi messaggi di phishing hanno superato le difese email citate; non è stato accertato alcun furto di credenziali andato a buon fine. Shane Barney, CISO di Keeper Security, ha dichiarato a Dark Reading che le organizzazioni dovrebbero aspettarsi che il phishing raggiunga i dipendenti e dovrebbero affiancare il filtraggio delle email con protezioni dell'identità, tra cui accesso con privilegi minimi, autenticazione a più fattori resistente al phishing e gestione degli accessi privilegiati. Malimban ha inoltre raccomandato di formare i dipendenti a riconoscere e segnalare il phishing, insieme al monitoraggio degli account per accessi sospetti.
