Sneaky 2FA Phishing Kit
サイバーセキュリティ研究者は、少なくとも 2024 年 10 月以降、Microsoft 365 アカウントを積極的に狙っている Sneaky 2FA と呼ばれる高度な中間者攻撃 (AitM) フィッシング キットを発見しました。このキットは、資格情報と 2 要素認証 (2FA) コードを傍受するように設計されており、脅威アクターにアカウント侵害の強力なツールを提供します。
目次
巧妙な2FAの普及と特徴
Sneaky 2FA フィッシング ページをホストしているドメインが 100 近く特定されており、サイバー犯罪者の間で中程度に普及していることを示しています。Sneaky Log と呼ばれるグループによって Phishing-as-a-Service (PhaaS) として販売されているこのキットは、機能豊富な Telegram ボットを通じて配布されています。顧客は難読化されたバージョンのソース コードを受け取り、独自に展開することができます。
被害者を狙ったフィッシングキャンペーン
Sneaky 2FA を活用したキャンペーンでは、PDF 添付ファイルを含む偽の支払い領収書メールを送信することが確認されています。これらの PDF には QR コードが含まれており、スキャンすると被害者は Microsoft 365 ログイン ポータルを模倣するように設計されたフィッシング ページにリダイレクトされます。これらのページは侵害されたインフラストラクチャでホストされており、多くの場合 WordPress Web サイトが関係しており、正当性を高めるために被害者のメール アドレスが自動的に入力されます。
強力な回避および分析対策
Sneaky 2FA は、高度なボット対策および分析対策技術を採用しています。トラフィックをフィルタリングし、Cloudflare Turnstile チャレンジを使用して認証情報収集ページへのアクセスを制限します。また、このキットは、Web ブラウザー開発者ツールによる精査を検出して阻止するためのチェックも実行します。データ センター、プロキシ、または VPN からの訪問者は、href.li サービスを介して Microsoft 関連の Wikipedia ページにリダイレクトされるため、このキットは TRAC Labs から WikiKit というニックネームで呼ばれています。
ユーザーを誤解させる欺瞞的なビジュアル
Sneaky 2FA は、その信頼性を高めるために、偽のログイン ページの背景に、正規の Microsoft インターフェイスのぼやけた画像を組み込みます。この戦術は、本物の Microsoft コンテンツにアクセスしているという印象をユーザーにもたらして、認証情報を入力させることを目的とします。
ライセンスとW3LLストアへのリンク
Sneaky 2FA キットが機能するには、アクティブなサブスクリプションが必要で、ライセンス キーの検証は中央サーバーで行われます。このサービスは月額 200 ドルで宣伝されており、その機能への独占アクセスを提供しています。調査により、W3LL パネルに以前リンクされていたフィッシング シンジケートである W3LL ストアや、ビジネス メール詐欺 (BEC) 攻撃で使用されるツールとのつながりも明らかになりました。Sneaky 2FA は W3LL パネルと一部のコードとテクニックを共有していますが、研究者はそれが直接の後継ではないと考えています。
コードの再利用と移行の歴史
興味深いことに、Sneaky 2FA のコードベースの一部は W3LL OV6 から借用されているようで、後者の難読化解除バージョンは近年サイバー犯罪者の間で出回っています。一部の Sneaky 2FA ドメインは以前、Evilginx2 や Greatness などの AitM キットに関連付けられており、一部の攻撃者が新しいサービスを採用する方向にシフトしていることを示唆しています。
異常なユーザーエージェントの動作: 危険信号
Sneaky 2FA の最も特徴的な特徴の 1 つは、認証プロセス中にハードコードされたさまざまな User-Agent 文字列を使用することです。このような遷移は正当なシナリオ (デスクトップ アプリと Web ブラウザーの切り替えなど) でも発生する可能性がありますが、Sneaky 2FA が使用する特定のシーケンスは非常に不規則です。この異常性は、キットの動作を検出するための信頼性の高い手段となります。
結論: サイバー犯罪の脅威は増大している
巧妙な 2FA はフィッシング ツールの進化を表しており、高度な回避策、ユーザー欺瞞、PhaaS モデルを組み合わせてサイバー犯罪者に対応しています。その導入は、オンラインの脅威が常に変化していること、そして巧妙なフィッシング キャンペーンに対して警戒を怠らないことの重要性を浮き彫りにしています。
