Hackers misbruiken AI-merknamen van OpenAI en SpaceX voor phishing
Onderzoekers van beveiligingsbedrijf Push Security hebben een opvallende phishing-campagne ontdekt waarbij nep-registratiepagina’s voor evenementen van OpenAI, SpaceX en Anthropic worden ingezet. Aanvallers proberen hiermee bedrijfsaccounts van Microsoft en Google te kappen door werknemers te lokken met aantrekkelijke beloningsacties, zoals gratis abonnementen op ChatGPT Pro of Grok Heavy.
De aanvalsketen maakt gebruik van slimme misleidingstechnieken om traditionele beveiligingsfilters te omzeilen. Slachtoffers ontvangen uitnodigingen via e-mail die gebruikmaken van verkorte links en redirects via vertrouwde domeinen zoals Google, Zapier en X. Wie op de link klikt, komt eerst terecht op een nagemaakte Cloudflare-beveiligingspagina die automatische beveiligingsscanners tegenhoudt. Pas daarna wordt de vervalste evenementenpagina getoond, die qua ontwerp nauwelijks te onderscheiden is van officiële platforms.
Op de neppagina's worden bezoekers gevraagd in te loggen met hun werkaccount om toegang te krijgen tot de livestream of om hun beloning te claimen. Push Security ontdekte dat het mechanisme achter de inlogknoppen afhankelijk is van het gekozen platform:
Microsoft-accounts: Wie kiest voor 'Continue with Microsoft', krijgt via het phishing-platform Kali365 een code voorgeschoteld die moet worden ingevoerd op de officiële device login-pagina van Microsoft. Zodra de gebruiker de code goedkeurt, krijgen de aanvallers toegang tot het account. Vervolgens wordt het slachtoffer doorgestuurd naar een tweede neppagina via VoidProxy om ook het wachtwoord en de sessie-cookie te stelen.
Platform
Google-accounts: De optie 'Continue with Google' opent een pop-upvenster dat wordt aangedreven door het VoidProxy-platform. Dit werkt als een zogenaamde Adversary-in-the-Middle (AiTM) reverse proxy. Het platform geeft het echte inlogproces van Google door, maar onderschept ondertussen direct het wachtwoord, de tweefactorauthenticatie (MFA) en de sessie-tokens.
Volgens Push Security zijn de gebruikte kits voor de landingspagina's (door de onderzoekers aangeduid als ZoomMock en MSDRoot) afkomstig van dezelfde operator, die de diensten Kali365 en VoidProxy huurt om meervoudige authenticatie te omzeilen. Doordat de aanvallers in hoog tempo van domeinen en merkthema's wisselen en legitieme cloudinfrastructuur misbruiken, schieten traditionele zwarte lijsten en URL-filters vaak tekort. Beveiliging op browserniveau, die het gedrag van pagina's tijdens het laden analyseert, blijkt noodzakelijk om dit type geavanceerde phishing-aanvallen in realtime te stoppen.
Meer over cybercrime
Over Witold Kepinski
