Według Malwarebytes nowe oszustwo phishingowe ma na celu kradzież danych logowania poprzez przekierowywanie użytkowników na fałszywą stronę logowania Google pod pretekstem darmowej subskrypcji Claude Max. Eksperci podzielili się wskazówkami, jak wykryć fałszywe strony przygotowane techniką przeglądarki w przeglądarce.
Nowe oszustwo phishingowe, zgłoszone przez firmę zajmującą się cyberbezpieczeństwem Malwarebytes, ma na celu przejęcie danych logowania do kont Google użytkowników poprzez obietnicę darmowego dostępu do usługi Claude Max firmy Anthropic, wartej około 200 dolarów. Według oświadczenia firmy, oszustwo wabi użytkowników twierdzeniem, że z okazji osiągnięcia 100 milionów użytkowników przez Anthropic, 10 000 osób otrzyma miesięczną darmową subskrypcję Claude Max.
Fałszywa kampania rzekomo oferuje przywileje takie jak "rozszerzone myślenie" oraz "priorytetowy dostęp do Sonnet z Opus, nieograniczone użycie". Jednak według Malwarebytes oferta jest całkowicie fałszywa i przekierowuje użytkowników na stronę logowania Google zaprojektowaną w celu kradzieży danych logowania. Przejęte informacje mogą zapewnić dostęp do Gmaila, Google Docs i innych usług powiązanych z kontem Google.
Starszy inżynier ds. badań nad złośliwym oprogramowaniem w Malwarebytes, Stefan Dasic, stwierdził, że fałszywa kampania wyróżnia się na tle wielu innych prób phishingu znacznie bardziej przekonującym wyglądem. Według Dasica projekt strony zawiera prawdziwe logo i kolory, fałszywe pięciogwiazdkowe oceny oraz długą sekcję stopki, która niemal w całości prowadzi do prawdziwych stron Anthropic. Na stronie znajduje się również działający licznik pokazujący, ile z fałszywych 10 000 kont zostało "rozdanych".
Technika przeglądarki w przeglądarce
Użytkownicy, którzy klikną ofertę, są przekierowywani na stronę logowania zaprojektowaną do ulepszenia konta Claude. Na stronie opcja logowania przez Apple jest wyłączona i dostępna jest tylko opcja "Zaloguj się przez Google". Według Dasica strona ta wykorzystuje technikę "przeglądarki w przeglądarce", która jest wystarczająco przekonująca, aby oszukać nieuważnych użytkowników; w ramach istniejącej karty rysowane jest fałszywe okno przeglądarki z ikoną kłódki i poprawnie zapisanym adresem logowania Google, a okno to można nawet przeciągać po stronie.
Dasic w rozmowie z CNET przypomniał, że Claude nie ma własnego hasła, co zwiększa ryzyko. Użytkownicy uzyskują dostęp do Claude albo kontynuując przez Google, albo poprzez link do logowania wysłany na ich e-mail. W związku z tym, jeśli czyjeś konto Claude jest powiązane z kontem Google, które padło ofiarą phishingu, atakujący może uzyskać dostęp do konta obiema drogami.
Zasięg oszustwa i jego ślady
Dasic stwierdził, że jest jeszcze za wcześnie, aby powiedzieć, jak powszechne stało się oszustwo i ile osób do niego dotarło. Dotychczasowe badanie wykazało, że witryna została prześledzona do firmy zarejestrowanej w Wielkiej Brytanii, ale serwer został wynajęty. Według Dasica pokazuje to jedynie, skąd wynajęto serwer, a nie kto go wynajął.
W niektórych komponentach strony internetowej znajdują się komentarze programistyczne napisane po rosyjsku. Jednak Dasic dodał, że sam język w kodzie jest słabym dowodem i wcześniej widziano, jak był umieszczany w celach wprowadzających w błąd. Dlatego uważa się, że wspomniane komentarze mogą należeć do narzędzia opracowanego przez kogoś innego, a nie do oszusta bezpośrednio związanego z kampanią.
Jak rozpoznać fałszywe okna przeglądarki
Malwarebytes podzielił się kilkoma wskazówkami dotyczącymi wykrywania fałszywych okien przeglądarki. Należy spróbować przeciągnąć ekran logowania w formie wyskakującego okna poza przeglądarkę; prawdziwe wyskakujące okno nie jest uwięzione wewnątrz strony internetowej. To, czy menedżer haseł wypełnia pola tekstowe, jest również ważnym wskaźnikiem; jeśli menedżer haseł nie wypełnia informacji, witryna jest najprawdopodobniej fałszywa.
Autentyczność witryny, do której prowadzi link, można potwierdzić, szukając oferty na prawdziwej stronie internetowej firmy; w tym przypadku oferta nie zostałaby znaleziona na stronie Anthropic. Zwrócenie uwagi wymaga również fakt, że oferowana jest tylko jedna opcja logowania; wyłączone logowanie przez Apple może być oznaką, że oszust próbuje nakłonić użytkowników do pułapki. Ponadto liczniki miejsc i odliczania nie świadczą o tym, że witryna lub oferta jest prawdziwa.
