Een nieuwe phishingcampagne maakt gebruik van legitieme, gecompromitteerde websites om e-mailbeveiliging te omzeilen.
De zogeheten ‘Bulletproof’ Blind Redirector Kit zorgt ervoor dat de daadwerkelijke phishinginfrastructuur onzichtbaar blijft voor traditionele e-mailfilters en gebruikers. KnowBe4 Threat Lab ontdekte dat tussen eind april en half juli duizenden phishingmails met deze techniek bij gebruikers in de inbox belandden.
De phishinglinks in deze e-mails verwijzen in eerste instantie naar betrouwbare, maar gecompromitteerde websites. Pas na het klikken wordt de gebruiker ongemerkt doorgestuurd naar een phishingpagina, zodat de uiteindelijke bestemming niet zichtbaar is voor e-mailbeveiligingssystemen.
De methode maakt het detecteren en blokkeren van phishing aanzienlijk moeilijker. Ook organisaties die vertrouwen op traditionele multifactorauthenticatie (MFA) lopen risico, omdat de aanvallers technieken gebruiken om geauthenticeerde sessies realtime te onderscheppen.
Blinde redirectors
De kern van deze aanvalsmethode is het gebruik van een zogeheten blinde redirector. Hierbij fungeert een legitieme, maar gecompromitteerde website als tussenstation. Daardoor blijft de daadwerkelijke phishinginfrastructuur onzichtbaar tijdens de controles van Secure Email Gateways. Aanvallers kunnen snel van gecompromitteerde host wisselen, wat het blokkeren bemoeilijkt.
Achter deze tussenlaag worden AiTM-phishingkits zoals Sneaky2FA en Tycoon 2FA ingezet. Hiermee kunnen aanvallers niet alleen het slachtoffer langs de MFA-controle leiden, maar ook de geauthenticeerde sessie direct onderscheppen. Dit betekent dat traditionele MFA niet langer afdoende bescherming biedt tegen dit soort aanvallen.
Misbruik van bekende infrastructuur
Volgens KnowBe4 werd bij 34 procent van de phishingmails gebruikgemaakt van de verzendinfrastructuur van bekende merken als QuickBooks en DocuSign. Daarnaast zijn tientallen legitieme websites uit verschillende landen en sectoren gecompromitteerd om als redirector te fungeren. Door het gebruik van vertrouwde namen en bestaande reputatie omzeilen aanvallers niet alleen technische beveiliging, maar vergroten ze ook de kans dat slachtoffers op de link klikken.
De opkomst van blinde redirectors toont aan dat phishing steeds moeilijker te herkennen en te blokkeren is. Organisaties doen er goed aan hun beveiliging aan te passen, bijvoorbeeld door phishing-resistente MFA te implementeren en blijvend in te zetten op bewustmaking van medewerkers.