Cybercriminelen zetten blob-URL’s in om phishing-pagina’s direct in de browser te genereren en zo detectie te vermijden.
Uit een nieuw rapport van Barracuda blijkt dat hackers een phishing-methode hanteren waarbij phishing-pagina’s niet langer op traditionele webservers worden gehost. In plaats daarvan maken aanvallers gebruik van blob-URL’s: tijdelijke adressen die de browser zelf aanmaakt en lokaal opslaat. Hierdoor bestaat de phishing-content alleen gedurende de browsersessie van het slachtoffer, waardoor securitytools geen permanente URL kunnen analyseren of blokkeren.
Een belangrijk kenmerk van deze aanval is het misbruik van legitieme Microsoft-diensten. Slachtoffers worden via vertrouwde platforms als login.microsoftonline.com en Microsoft Teams omgeleid, waardoor de aanval betrouwbaar oogt en gebruikers minder snel argwaan krijgen. Dit ondermijnt de effectiviteit van gangbare waarschuwingssignalen voor phishing.
Aanvalstechnieken in de browser
De phishing-aanval speelt zich grotendeels af binnen de browser. Zodra de blob-URL is geladen, wordt er een service worker geregistreerd. Deze browsercomponent beheert netwerkverzoeken en het gedrag van de pagina, waardoor aanvallers controle houden zonder een echte phishing-website. Een deel van de aanval verloopt via een sandboxed iframe, een geïsoleerd venster in de browser dat extra bescherming biedt tegen detectie.
De workflow van de aanval is bovendien dynamisch. Instructies uit de infrastructuur van de aanvaller kunnen het gedrag en de bestemming in realtime aanpassen. Hierdoor kunnen securitysystemen niet vertrouwen op bekende redirects of vaste patronen en blijft de aanval buiten beeld van traditionele detectiemethoden.
Aanvallers vergroten de geloofwaardigheid van hun e-mails door een agenda-uitnodiging als bijlage toe te voegen. Hoewel deze bijlage niet schadelijk is, zorgt ze ervoor dat de communicatie normaal en zakelijk aanvoelt, wat het risico op succesvolle phishing verhoogt.
Maatregelen
Barracuda raadt organisaties aan om hun focus te verleggen van het blokkeren van bekende phishing-URL’s naar het herkennen van schadelijk gedrag. Het is belangrijk om OAuth-processen en redirect chains te monitoren op ongebruikelijke bestemmingen. Daarnaast wordt aangeraden browseractiviteit rondom blob-URL’s te analyseren, zeker wanneer deze worden gebruikt voor authenticatie.