Pesquisadores em cibersegurança alertaram para um aumento nas páginas de phishing criadas usando uma ferramenta de construção de sites chamada Webflow, enquanto os atores de ameaças continuam a abusar de serviços legítimos em seu favor.

As campanhas visam informações sensíveis de diferentes carteiras de criptomoedas, incluindo Coinbase, MetaMask, Phantom, Trezor e Bitbuy, bem como credenciais de login para várias plataformas de webmail, além das credenciais de login do Microsoft 365.

A empresa de cibersegurança afirmou que rastreou um aumento de 10 vezes no tráfego para páginas de phishing criadas com o Webflow entre abril e setembro de 2024, com os ataques visando mais de 120 organizações em todo o mundo. A maioria dessas organizações está localizada na América do Norte e na Ásia, abrangendo os setores de serviços financeiros, bancários e tecnologia.

Os atacantes foram observados usando o Webflow para criar páginas de phishing independentes, bem como para redirecionar usuários desavisados para outras páginas de phishing sob seu controle.

O primeiro fornece aos atacantes sigilo e facilidade, pois não há linhas de código de phishing a serem escritas e detectadas, enquanto o último oferece flexibilidade ao atacante para realizar ações mais complexas conforme necessário.

O que torna o Webflow muito mais atraente é que ele permite que os usuários criem subdomínios personalizados sem custo adicional, ao contrário de subdomínios alfanuméricos gerados automaticamente que tendem a levantar suspeitas.

• Cloudflare R2 – https://pub-<32_alphanumeric_string>.r2.dev/webpage.htm
• Microsoft Sway – https://sway.cloud.microsoft/{16_alphanumeric_string}?ref={sharing_option}

Na tentativa de aumentar a probabilidade de sucesso do ataque, as páginas de phishing são projetadas para imitar as páginas de login de suas contrapartes legítimas, a fim de enganar os usuários para que forneçam suas credenciais, que então são exfiltradas para um servidor diferente em alguns casos.

A Netskope também identificou sites de golpe com criptomoeda no Webflow que usam uma captura de tela de uma página inicial de carteira legítima como suas próprias páginas de destino e redirecionam o visitante para o verdadeiro site de golpe ao clicar em qualquer lugar no site falso.

O objetivo final da campanha de phishing de criptomoedas é roubar as frases-semente da vítima, permitindo que os atacantes assumam o controle das carteiras de criptomoedas e esvaziem os fundos.

Nos ataques identificados, os usuários que acabam fornecendo a frase de recuperação recebem uma mensagem de erro informando que sua conta foi suspensa devido a “atividade não autorizada e falha de identificação.” A mensagem também solicita que o usuário entre em contato com sua equipe de suporte iniciando um chat online.

Vale ressaltar que serviços de chat foram mal utilizados como parte de campanhas de golpe de criptomoeda.

Os usuários devem sempre acessar páginas importantes, como seu portal bancário ou webmail, digitando a URL diretamente no navegador em vez de usar mecanismos de busca ou clicar em outros links.

O desenvolvimento ocorre à medida que cibercriminosos estão anunciando novos serviços anti-bot na dark web que alegam contornar os alertas do Safe Browsing do Google no navegador Chrome.

Serviços anti-bot tornaram-se a base de operações complexas de phishing, visando evitar que crawlers de segurança identifiquem páginas de phishing e as coloquem na lista de bloqueio.

Campanhas de malspam e malvertising em andamento também foram descobertas propagando um malware em evolução.

Essas ferramentas prolongam a vida útil de sites maliciosos, ajudando os criminosos a evitar a detecção por mais tempo.

Enquanto o direcionamento de longo prazo associado às campanhas de distribuição parece indiscriminado, a maioria dos casos onde payloads subsequentes foram observados ocorreram nos Estados Unidos, com casos adicionais espalhados pelo Canadá, Reino Unido, Alemanha, Itália, Áustria e Países Baixos.

Quais as técnicas usadas para identificar páginas de phishing criadas com Webflow?

Para identificar e combater páginas de phishing criadas com o Webflow, várias técnicas e estratégias podem ser empregadas. O aumento dos ataques cibernéticos, especialmente aqueles relacionados a crypto e roubo de credenciais, exige um foco constante em segurança.

Análise de Redirecionamentos e Subdomínios

Os atacantes frequentemente usam o Webflow para criar subdomínios personalizados que não levantam suspeitas, ao contrário de subdomínios alfanuméricos gerados automaticamente. Identificar redirecionamentos suspeitos e subdomínios personalizados pode ajudar a detectar páginas de phishing.

Verificação de Autenticidade de Páginas

As páginas de phishing são projetadas para imitar as páginas de login legítimas. Verificar a autenticidade da página, incluindo a URL, o design e a presença de capturas de tela de páginas iniciais legítimas, é crucial. Os usuários devem acessar páginas importantes digitando a URL diretamente no navegador em vez de usar mecanismos de busca ou clicar em links.

Uso de Ferramentas de Segurança

Empregar ferramentas de segurança como antivírus e firewalls de aplicativos web (WAF) pode ajudar a identificar e bloquear tráfego malicioso. Essas ferramentas podem analisar o tráfego entrante, filtrar visitantes indesejados e prevenir ataques comuns, incluindo SQL injections e cross-site scripting.

Configuração de Email Authentication

Técnicas de autenticação de email, como SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) e DMARC (Domain-based Message Authentication, Reporting, and Conformance), podem ajudar a prevenir phishing via email. Essas técnicas validam a autenticidade do remetente e evitam que emails maliciosos sejam entregues.

Monitoramento e Scans de Segurança

Realizar scans de segurança regulares e auditorias pode ajudar a identificar e corrigir vulnerabilidades antes que os hackers as explorem. Isso inclui verificar por padrões maliciosos conhecidos e atualizar software e plugins regularmente.

Educação e Conscientização

Educando os usuários sobre comportamentos seguros online, como verificar a autenticidade de emails e páginas web, e reconhecer sinais de phishing, pode reduzir significativamente o sucesso desses ataques. A conscientização é uma das melhores defesas contra malware e tentativas de roubo de credenciais.

Serviços Anti-Bot e Crawlers de Segurança

Os cibercriminosos estão usando serviços anti-bot para evitar que crawlers de segurança identifiquem páginas de phishing. No entanto, as empresas de segurança podem desenvolver estratégias para contornar esses serviços e manter as listas de bloqueio atualizadas.

Conclusão

Identificar páginas de phishing criadas com Webflow requer uma combinação de técnicas de análise, ferramentas de segurança e educação do usuário. A vigilância constante e a adoção de práticas de segurança robustas são essenciais para proteger informações sensíveis e evitar ataques que visam roubar credenciais e comprometer a integridade das operações online.

Fontes de Pesquisa:

• Artigo sobre Webflow e phishing
• Guia de segurança de website da Webflow
• Técnicas de autenticação de email

Fonte

#phishing, #Webflow, #crypto, #segurança, #ataques, #malware, #credenciais, #cryptoalch