Wazza Phishkit Targets Banking, Government, and Manufacturing Across the US, EU, and Australia
The Hacker News · 8 oct, 12:30
ANY.RUN ha identificado Wazza, una nueva campaña de phishing dirigida a organizaciones de banca, manufactura y gobierno en EE.UU., Europa y Australia. La campaña utiliza una cadena de enrutamiento multietapa para filtrar visitantes y validar sesiones antes de entregar una página de phishing con tema Adobe que solicita autenticación mediante Device Code, lo que dificulta su detección automatizada.
Wazza no envía directamente a los visitantes a la página de phishing final. En su lugar, utiliza una infraestructura sofisticada de múltiples etapas que comienza en un dominio comodín (boegl-krysl[.]eu), donde se verifica si el nombre de host pertenece a una campaña activa. A continuación, el sistema contacta con beacon-surge-sync[...]workers[.]dev para emitir un marcador de cliente, genera un token de sesión firmado de corta duración en /api/mint-token, y valida el token y telemetría del navegador en check[.]boegl-krysl[.]eu antes de servir la página de phishing final.
Esta arquitectura crea desafíos específicos para proveedores de seguridad gestionada (MSSPs): una URL sospechosa puede parecer inofensiva inicialmente porque la página de phishing final no se sirve inmediatamente, los sistemas de seguridad automatizados pueden recibir contenido diferente del que ve un visitante humano, y un analista que no puede reproducir la secuencia completa de enrutamiento puede tener dificultades para determinar qué entrega realmente la URL. El resultado es investigaciones más largas y más escalaciones innecesarias a analistas senior.
Puntos clave
- Infraestructura multietapa con enrutamiento a través de múltiples dominios para validar sesiones antes de servir phishing
- Utiliza páginas con tema Adobe combinado con flujo Device Code para dirigirse a autenticación de cuentas
- Campañas activas contra sectores bancario, manufacturero y gubernamental en US, EU y Australia
- Dificulta la detección automatizada porque la página phishing final no se sirve a todos los visitantes
Figuras de la fuente
