USPS詐欺スミッシングキャンペーンはSNS Senderを使用してクラウドに移行する可能性があります

USPSの「配達失敗」詐欺テキストは、木曜日に研究者によって明らかにされた新しいフィッシングツールを使用して、Amazonクラウドサービスを通じて送信される可能性があります。

SNS Sender は、SentinelOne 研究者によって発見された Python スクリプトで、Amazon Simple Notice Service (SNS) を介した大量の SMS 配信を可能にするように設計されています。 このフィッシング キットは、名前、住所、電話番号、電子メール、クレジット カード番号などの被害者の個人情報を収集する偽の米国郵便公社 (USPS) Web サイトなど、攻撃者が管理する Web サイトへのリンクを自動的に挿入します。

SentinelLabs の脅威研究者 Alex Delamotte 氏は次のように述べています。 ブログ投稿で このスクリプトは「クラウド攻撃ツールの文脈においてこれまで見たことのない手法」を表していると詳しく述べています。

「企業と攻撃者の間に共通する脅威は、どちらも従来の Web サーバーで処理されていたワークロードをクラウドに移行していることです」とデラモット氏は書いています。

Amazon SNS 悪用ツールが多作のフィッシング キット作成者とリンク

SMS フィッシング (スミッシング) キャンペーンでは、Twilio などの大量の SMS 配信ツールを利用して、被害者に一斉にスパムを送信する能力を高める場合があります。 SentinelOne によると、SNS Sender スミッシング キットは、Amazon SNS を標的としたこの種のキットとしては初めてのものであると考えられています。

SNS Sender の作成者と思われる人物は、別名「ARDUINO_DAS」で知られており、そのハンドルは SentinelOne によって特定された他の 150 以上のフィッシング キット ファイルに含まれています。 ARDUINO_DAS に関連するキットの半分以上は USPS 詐欺に関連していました。

SNS Sender には、ランダムに選択され、「linkas」文字列の出現を置き換えることによってスミッシング メッセージに挿入されるフィッシング リンクのリストを保存するためのテキスト ファイルが含まれています。 また、ターゲットの電話番号、メッセージの内容、アマゾン ウェブ サービス (AWS) のアクセス キーを保存するためのテキスト ファイルも含まれています。

SNS Sender スクリプトには、完全なスミッシング キットというよりも進行中の作業であることを示唆する兆候がいくつかあります。 たとえば、スクリプトにはカスタム送信者 ID を挿入する機能が含まれていますが、これは USPS 詐欺の標的となると考えられる米国の通信事業者ではサポートされていません。

さらに、大規模に実行するには非現実的に長い認証情報のリストが必要になるため、スクリプトが各メッセージに使用する AWS アクセス キー ペアを選択する方法が最適化されていないようです。

フィッシング詐欺による乗っ取りの対象となるクラウドサービス

Amazon SNS の悪用専用のフィッシング ツールの発見は新しい展開ですが、その後のフィッシング キャンペーンの可能性のためにクラウド サーバーを標的にした攻撃者の例がいくつかあります。

たとえば、2023 年 3 月に、以前に公開された AWS アクセス キーを使用して AWS サーバーに侵入した攻撃者は、 ペルミソの研究者によって観察された 「GetSMSAttributes」アクションを試行します。 研究者らは、攻撃者が「GetSMSAttribute」、「GetSMSSandboxAccountStatus」、および同様のコマンドを実行して、ハイジャックされたサーバーが大量の SMS メッセージを送信するように適切に設定されているかどうかを判断する可能性があることに気づきました。

クラウド サービスではデフォルトで一括 SMS 配信が有効になっていないため、AWS SNS をターゲットとする攻撃者は問題に遭遇する可能性があります。 この機能を利用するには、AWS テナントが SNS サンドボックス環境の外側にある必要があります。

センチネルワン 以前に詳細に説明されたプレデター AI、ChatGPT API を利用する Python ベースの情報窃盗およびハッキング ツール。 Predator AI は、AWS の Simple Email Service (SES) など、フィッシングキャンペーンに利用される可能性のある電子メールや SMS 通信サービスを含む、幅広いクラウド サービスをターゲットにしています。

今年の初めに、 FBot と呼ばれる別の Python ベースのハッキング ツール AWS、Sendgrid、Twilio、その他のクラウドおよびソフトウェア サービスをターゲットにしていることが明らかになりました。 Predator AI と同様に、FBot は、侵害後に電子メールやテキスト スパムに使用されるアカウントへの初期アクセスを確立しました。