Киберпрестъпниците откриват нов метод за заобикаляне на системи за откриване на фишинг, като използват no-code платформата Bubble за създаване и хостване на зловредни уеб приложения. Тъй като приложението е разположено на легитимната инфраструктура на Bubble (*.bubble.io), линковете не се маркират от защитни системи за електронна поща и потребителите могат да достъпят страницата без предупреждение.

Експертите на Kaspersky обясняват, че престъпниците създават фалшиви уеб приложения, които имитират Microsoft логин портал, понякога скрит зад проверка на Cloudflare. Въведените данни за достъп се изпращат директно на атакуващия, който може да получи контрол върху имейл, календар и други услуги на Microsoft 365 акаунти.

Технически методи за заобикаляне на защита

Bubble е AI-задвижвана no-code платформа, която автоматично генерира бекенд логика и фронтенд за приложения, описани от потребителя. Крайните приложения използват сложни JavaScript bundle-и и Shadow DOM структури, което затруднява откриването на зловреден код от автоматизирани инструменти и статичен анализ.

Според Kaspersky кодът е „огромна каша от JavaScript и изолирани Shadow DOM елементи“, която дори за експерт е трудна за разчитане. Автоматизирани алгоритми за анализ често заключават, че страницата е легитимна и функционална, което прави метода особено ефективен за заобикаляне на сигурност.

Потенциал за разпространение и интеграция

Използването на AI-базирани платформи за evasion в фишинг кампании може да стане стандартна практика за фишинг-as-a-service (PhaaS) платформи и готови фишинг комплекти, които се използват от по-нискотирани киберпрестъпници.

Тези платформи вече предлагат кражба на сесийни бисквитки, AiTM (adversary-in-the-middle) функции, заобикаляне на двуфакторна автентикация, гео-филтриране, анти-анализ и автоматично генерирани имейл съобщения. Затова злоупотребата с легитимни платформи като Bubble значително увеличава скритостта и ефективността на атаките.

Препоръки за защита

• Потребителите трябва да бъдат внимателни при кликване върху линкове, дори ако домейнът изглежда легитимен (*.bubble.io).
• Организациите е добре да засилят филтрирането и поведението при линкове, използвайки допълнителни проверки за домейн и съдържание на страниците.
• Възможно е също интегриране на поведенчески анализ и мониторинг на сесии за ранно откриване на подозрителни действия в акаунти.

Този метод показва как злоупотребата с легитимни платформи и no-code инструменти може да бъде използвана за ефективен фишинг, който е труден за откриване от стандартни защитни решения.