Grupa UNC1151 (nazywana też Ghostwriter) od ponad roku atakuje skrzynki pocztowe polskich obywateli – ostrzega CERT Polska. Przypuszcza się, że jest ona powiązana z białoruskimi władzami.

To akcja na masową skalę. CERT podaje, że dzięki zgłoszeniom podejrzanej aktywności uchronił użytkowników przed blisko 4 milionami prób wejść na złośliwe strony.

Dla przypomnienia, UNC1151 według ustaleń Mandianta przez kilka lat prowadziła operację destabilizacji sytuacji politycznej m.in. w Polsce pod kryptonimem „Ghostwriter”. Stąd druga nazwa grupy.

W marcu br. jak ustalił Google grupa próbowała wykraść dane logowania do polskich kont wojskowych.

Buszują w skrzynkach e-mail, szukają wrażliwych dokumentów

Metody ataków zmieniają się. Jedną z najczęściej stosowanych przez UNC1151 jest wysyłanie maili phishingowych w celu wyłudzenia danych logowania do poczty. Przejęte skrzynki są następnie penetrowane. Hakerzy szukają wrażliwych dokumentów, a także wykorzystują zhakowane konta do przejmowania powiązanych kont w mediach społecznościowych oraz do rozpowszechniania dezinformacji.

Maile phishingowe są najczęściej wysyłane ze skrzynek pocztowych utworzonych na portalach, z których korzystają potencjalne ofiary. Oto przykładowe adresy wykorzystywane do wysyłki wiadomości.

Podszywają się pod administratorów, nakłaniając adresata do natychmiastowego działania.

Oto przykładowe „monity” od hakerów.

Na czerwono zaznaczono linki, których kliknięcie przenosi użytkownika na stronę wyłudzającą dane logowania. Hakerzy dokładnie przygotowali „skok” na polskie konta. W ciągu ostatniego roku CERT Polska rozpoznał prawie 100 domen utworzonych przez Ghostwritera w celu ataków na Polaków.

Wykorzystują przejęte, znane strony

Od czerwca 2021 r. do stycznia 2022 r. atakujący wykorzystywali przejęte polskie strony internetowe, na których umieszczali przekierowania do phishingu. Często były to domeny z długoletnią reputacją. Oto przykład.

Komunikat udaje informację o plikach cookie. Po kliknięciu w „Przejdź do serwisu” ofiara była kierowana na stronę wyłudzającą dane logowania.

Technika Browser in the Browser

Po rozpoczęciu rosyjskiej inwazji na Ukrainę, od marca 2022 r. grupa UNC1151 zaczęła stosować technikę Browser in the Browser. Według ekspertów jest ona wyjątkowo groźna i łatwa do przeoczenia. Polega na wyświetleniu na odwiedzanej stronie pozornie nowego okna przeglądarki, zawierającego fałszywy panel logowania. Okno jest dobrze wykonane, co utrudnia ofierze rozpoznanie oszustwa.

Tak wyglądał atak na użytkowników skrzynek na Onecie:

CERT Polska apeluje o zgłaszanie wszelkich podejrzanych stron przez formularz na stronie https://incydent.cert.pl/.