PolySwarm i Recorded Future opisały nową kampanię APT28 wymierzoną w dyplomację, rząd i sektor obronny, głównie w Rumunii, Turcji i Hiszpanii. Zamiast drogich exploitów wystarczył phishing z dokumentem Word, makro, zadanie w harmonogramie i Edge łączący się z webhook.site jako serwerem C2.

CERT Polska ostrzega przed falą wiadomości z linkami do fałszywego portalu skarbówki. Przynętą jest rzekomy zwrot nadpłaconego podatku, a celem dane logowania, numer PESEL i dane kart płatniczych. Strona wygląda jak oryginał, tyle że działa pod zupełnie inną domeną.

Na OLX jest teraz masa podejrzanych ofert. Konsola trochę taniej niż normalnie, sprzedający wygląda w miarę legitnie, piszesz i po chwili zaczyna się klasyka: Nie mam na tym koncie przesyłki OLX. Wystawię z konta żony. Podaj maila. Wyślę Ci link do płatności. No i dostajesz link...

Bank Pekao alarmuje przed oszustwem, w którym przestępcy podszywają się pod Mastercard i informują o rzekomo wygasających punktach lojalnościowych. Link w wiadomości prowadzi do fałszywej strony wyłudzającej dane logowania do bankowości internetowej.

Analitycy bezpieczeństwa opisali narzędzie iAuthFlow v2, które w kilka sekund dodaje własny klucz dostępu do przejętego konta ofiary, omijając zabezpieczenia uznawane dotąd za odporne na phishing. Zagrożone są konta Google, Microsoft, iCloud i LinkedIn.

Oszuści podszywają się pod operatora Play i wysyłają e-maile o rzekomym zwrocie nadpłaty. Link prowadzi na fałszywą stronę, która wyłudza dane logowania oraz numery kart płatniczych. CERT Polska apeluje o ostrożność i sprawdzanie adresów nadawców.

Badacze z Sekuraka opisują atak DKIM replay, w którym przestępcy przechwytują autentyczne, podpisane wiadomości od Google, Apple czy PayPal i wysyłają je ponownie do swoich ofiar. Filtry antyspamowe widzą poprawny podpis kryptograficzny i przepuszczają maila, mimo że nadawca jest fałszywy.

Eksperci ESET alarmują o narzędziu EvilTokens. Atak nie wymaga znajomości hasła ani przejścia weryfikacji dwuetapowej. Ofiara loguje się na prawdziwej stronie Microsoftu, nieświadomie zatwierdzając sesję przestępcy. Kradzież konta, poczty, Teams i plików firmowych w jednym kliknięciu.

Atak zaczyna się od e-maila z załącznikiem HTML, który przekierowuje przez legalną usługę Google DoubleClick na fałszywą stronę logowania, spersonalizowaną pod adres ofiary. Złośliwy kod wyłącza Windows Defender i instaluje trojana DesckVB RAT, dającego pełną kontrolę nad komputerem.

CERT Polska ostrzega przed phishingiem powiązanym z białoruskim rządem. Hakerzy rozsyłają fałszywe e-maile z adresów łudząco podobnych do Google i przekierowują na strony kradnące hasła i kody 2FA. Po przejęciu skrzynki szukają wartościowych kontaktów i dokumentów.

Fałszywy SMS trafia do tego samego wątku co prawdziwe wiadomości rządowe, bo nazwa nadawcy może być dowolnie sfałszowana. Informuje o mandacie i prowadzi na stronę wyłudzającą dane karty płatniczej.

Oszuści podszywają się pod ubezpieczyciela Ergo Hestia i wysyłają e-maile z obietnicą wyrównania składki. Po wpisaniu danych karty przestępcy podpinają ją do Google Pay i wyprowadzają pieniądze. Prawdziwe zwroty nigdy nie wymagają podawania numeru karty.

Hakerzy zasypują skrzynki spamem, a potem dzwonią przez Microsoft Teams jako "wsparcie IT". Ofiara klika "łatkę" i instaluje trojana Snow, który kradnie hasła i otwiera zdalny backdoor. Metoda działa, bo Teams ułatwia kontakt zewnętrzny. Analiza Google Threat Intelligence.