Wykryto nową kampanię phishingową, która od maja atakuje głównie instytucje finansowe, w tym banki regionalne w USA, Wielkiej Brytanii oraz Australii. Napastnicy wykorzystują ponad 300 domen, które podszywają się pod logowania do bankowości biznesowej i systemów skarbowych. Kluczowym elementem ataku jest zaawansowany zestaw narzędzi (phishing kit), który monitoruje adresy IP odwiedzających.
Mechanizm działania polega na tym, że przy pierwszej wizycie użytkownik widzi prawdziwą stronę logowania do banku. Jeśli jednak ta sama osoba lub system bezpieczeństwa odwiedzi stronę ponownie, zostanie wyświetlony fałszywy komunikat o zawieszeniu konta u dostawcy hostingu. Ma to na celu zmylenie zespołów bezpieczeństwa oraz automatycznych skanerów, które po drugiej próbie sprawdzenia domeny mogą uznać ją za nieaktywną.
Atakujący stosują specyficzne schematy nazewnictwa domen, używając słów takich jak „secure”, „protect” czy „help-desk” w połączeniu z nazwą banku. Dodatkowo strony te wykorzystują ochronę Cloudflare do ukrycia rzeczywistego miejsca hostowania oraz skrypty blokujące narzędzia programistyczne w przeglądarce, co utrudnia analizę techniczną strony przez ofiary i ekspertów.
