Una nuova campagna di phishing scoperta dai ricercatori di Island Security Research sfrutta il crescente interesse verso quei servizi pubblicitari basati sull’intelligenza artificiale.
Nella fattispecie, l’operazione malevola utilizza siti che imitano prodotti associati a Gemini, Claude, ChatGPT, Perplexity e Manus, fino ad arrivare al falso gestore di annunci Muse Ads, comparso solo pochi giorni dopo che la stessa Meta ha annunciato Muse, un nuovo agente personale di intelligenza artificiale progettato per compiere azioni autonome per conto dell’utente.
In realtà, dietro l’aspetto di un normale servizio per gestire campagne pubblicitarie si nasconde una piattaforma di phishing gestita direttamente dagli operatori.
Indice degli argomenti
Il pulsante Connect è il vero punto dell’attacco
La strategia è particolarmente efficace perché non presenta immediatamente alla vittima una classica pagina di login. Il sito propone invece un servizio apparentemente legittimo, con funzioni dedicate all’ottimizzazione delle campagne, alla verifica delle spese o al collegamento degli account pubblicitari.
Il percorso conduce, quindi, al pulsante Connect, apparentemente necessario per collegare Google, Meta, TikTok o altri servizi. È proprio questa azione a dare inizio alla fase di raccolta delle credenziali.
Dopo il clic sul pulsante Connect, entra in gioco una tecnica conosciuta come Browser-in-the-Browser: la pagina non apre realmente Google o un altro provider di identità, ma disegna all’interno del browser una seconda finestra che ne replica l’aspetto.
La vittima può, quindi, visualizzare un indirizzo come “accounts.google.com”, il lucchetto di sicurezza e gli elementi grafici familiari di Chrome o Safari, mentre il browser reale rimane collegato al dominio controllato dagli attaccanti.
Il falso ambiente viene inoltre adattato al dispositivo utilizzato, compresi Windows, macOS, Android e iOS.
Credenziali e autenticazione sotto controllo umano
L’aspetto più significativo della campagna è però il controllo umano del processo: infatti, una volta che la vittima interagisce con il falso ambiente, il controllo del processo passa ad un operatore umano per il controllo delle azioni che la stessa vittima dovrà compiere successivamente.
La piattaforma registra i tentativi effettuati dal malcapitato e consente all’operatore di decidere quale schermata mostrare successivamente.
L’operatore può richiedere nuovamente la password, proporre un codice SMS, simulare una richiesta dell’app di autenticazione, presentare un’approvazione tramite Google o Okta e qualora la risposta non fosse quella attesa respingerla e chiedere alla vittima di effettuare un nuovo tentativo.
“La finta finestra di Google rappresenta solo lo strato di presentazione. Al di sotto si cela una macchina a stati progettata per seguire la vittima durante l’autenticazione. Un operatore umano, ovvero l’attaccante che gestisce la campagna, può visualizzare ogni invio e decidere cosa vedrà la vittima in seguito”, si legge nel rapporto dei ricercatori Oleg Zaytsev e Ofek Ronen, che aggiungono: “Si tratta di una gestione intenzionale dei tentativi. Un operatore può rifiutare una voce, chiedere alla vittima di riprovare e conservare tutti i valori inviati”.
L’elemento più interessante emerso dall’analisi, basata su Next.js e Socket.IO, mentre l’infrastruttura backend gestisce lo stato della sessione e i comandi impartiti dall’operatore.
La stessa piattaforma è stata utilizzata anche per false richieste di rimborso e campagne di recruiting. Island ha inoltre individuato codice relativo a versioni precedenti pubblicato su repository GitHub configurati in modo errato, permettendo di ricostruire l’evoluzione dell’operazione.
Un altro elemento interessante emerso dall’analisi, grazie a del codice sorgente esposto su repository pubblici GitHub configurati in modo errato, è che la stessa piattaforma ’infrastruttura alla base della campagna farebbe parte di un’operazione più ampia utilizzata anche per false richieste di rimborso e campagne di recruiting.
Perché gli account pubblicitari sono un obiettivo prezioso
Il furto di un account pubblicitario può avere conseguenze rilevanti. Un’identità utilizzata da un’agenzia o da un responsabile marketing può infatti consentire l’accesso a più account cliente, ai relativi budget e ai metodi di pagamento associati.
Gli aggressori possono utilizzare direttamente il budget disponibile oppure rivendere account già attivi e dotati di una storia di spesa.
La compromissione di un account manager può quindi trasformarsi rapidamente in un problema che coinvolge più organizzazioni e campagne pubblicitarie.
La campagna dimostra quanto rapidamente i criminali possano adattare il phishing alle novità del settore tecnologico. Muse Ads è comparso appena otto giorni dopo l’annuncio di Muse, sfruttando proprio la novità del prodotto per rendere credibile l’esistenza di un servizio ancora poco conosciuto.
Il problema non è quindi soltanto la capacità di imitare un marchio, ma quella di costruire in tempi estremamente rapidi un’intera esperienza digitale apparentemente legittima.
Per gli utenti diventa quindi fondamentale osservare il dominio effettivamente utilizzato dal browser e non soltanto ciò che viene mostrato all’interno della pagina.
Anche l’utilizzo di passkey e sistemi di autenticazione resistenti al phishing può ridurre significativamente l’efficacia di campagne come questa progettate per sottrarre password e codici temporanei.
Partecipa alla community