Cyberkriminelle missbrauchen SniperDz-PhaaS-Ökosystem für Markenimitation und Browser-Hijacking

Sicherheitslage und Risiko

Drei IP-Adressen, alle von Horizon IS gehostet, bestätigten zusätzlich die vernetzte Natur der Operation und stützten die Zuordnung zu einem einheitlichen Ökosystem. Hacker missbrauchen das SniperDz PhaaS-Ökosystem. Der Angriff beginnt in der Regel mit einer lokalisierten Social-Engineering-Köderaktion durch einen gefälschten Social-Media-Beitrag.

Die Opfer werden zunächst über vertrauenswürdige Link-Aggregationsplattformen wie Linkbio und Linktree geleitet, auf denen Angreifer täuschend echte Landeseiten erstellen, die auf den ersten Blick vollständig legitim erscheinen.

Beispielsweise fungierte fanlnk.to, eine Domäne, die mit Linkbio verknüpft ist, als Zwischenschicht zwischen dem Social-Media-Beitrag und dem eigentlichen Phishing-Ziel. Dieser Ansatz nutzt die Reputation vertrauenswürdiger Dienste aus, sodass frühe Angriffsphasen sowohl für Opfer als auch für Erkennungssysteme als normal erscheinen.

Technik und Auswirkungen

Sobald die Opfer die Link-Aggregationsschicht durchlaufen, landen sie auf von Angreifern kontrollierter Infrastruktur, wo Tracking-, Weiterleitungs- und Monetarisierungsmechanismen angewendet werden.

Browser-Hijacking und Multi-Track-Monetarisierung Die letzte Phase des Funnel leitet die Opfer auf eine Seite, die darauf ausgelegt ist, Berechtigungen für Browser-Benachrichtigungen zu erfassen.

Die Seite zeigt ein minimalistisches Interface mit einem Lade-Spinner und einer Meldung, die die Benutzer auffordert, auf „Zulassen" zu klicken, um fortzufahren, und erweckt den Eindruck, dass ein legitimer Verifizierungsvorgang im Gange ist. Die Opfer erteilen die Browser-Berechtigungen, ohne zu erkennen, wofür sie sich entschieden haben.

Technischer Hintergrund

Im Hintergrund verwendet die Seite den gemeinsamen VAPID-Öffentlichen Schlüssel, um Browser-Push-Abonnements zu registrieren, und sendet das resultierende Token zusammen mit Metadaten wie Sprach Einstellungen zurück zum Server des Betreibers.

Die Seite injiziert zudem Code zur Manipulation der Browserverlauf, der 10 gefälschte Einträge in die Navigationsverlauf des Opfers einfügt und so einen von Forschern als „Rückknopf-Gefängnis" bezeichneten Zustand erzeugt, der einen einfachen Ausweg verhindert.

Eine Tab-Unter-Technik leitet gleichzeitig den ursprünglichen Tab um, wenn das Opfer einen neuen Browser-Tab öffnet, auf eine vom Angreifer kontrollierte Zieladresse. Benutzer, die eine Exposition vermuten, sollten umgehend die Benachrichtigungsberechtigungen für den Browser über die Standorteinstellungen ihres Browsers überprüfen und widerrufen.

Umleitungsketten, die Link-Aggregationsdienste und unbeteiligte Domänen

Umleitungsketten, die Link-Aggregationsdienste und unbeteiligte Domänen beinhalten, sollten als verdächtig behandelt werden, und unverständliche Gebühren für Premium-SMS-Abonnements sollten unverzüglich bei dem Mobilfunkanbieter gemeldet werden.

Indikatoren für Kompromittierungen (IoCs): Domäne: Indikator: win.feezossl[.]xyz; Beschreibung: Von Angreifern kontrollierte Weiterleitungs-/Tracking-Domain, die in einem Betrugsfunnel eingesetzt wird.

Domäne: Indikator: win.anababayala[.]com; Beschreibung: Von Angreifern kontrollierte Weiterleitungs-/Tracking-Domain, die in einem Betrugsfunnel eingesetzt wird. Domäne: Indikator: aff.bnaoswhye[.]shop; Beschreibung: Zusätzliche Phishing-Domain, die mit der SniperDz-Kampagne in Verbindung steht.

Sicherheitslage und Risiko

Domäne: Indikator: raviral[.]com; Beschreibung: Domäne, die zuvor als Teil des SniperDz-Ökosystems identifiziert wurde. IP-Adresse: Indikator: 85.85.9[.]245; Beschreibung: Wird von Horizon IS gehostet; steht in Verbindung mit der Phishing-Infrastruktur von SniperDz.

IP-Adresse: Indikator: 172.172.45[.]112; Beschreibung: Wird von Horizon IS gehostet; steht in Verbindung mit der Phishing-Infrastruktur von SniperDz. IP-Adresse: Indikator: 172.162.12[.]452; Beschreibung: Wird von Horizon IS gehostet; steht in Verbindung mit der Phishing-Infrastruktur von SniperDz.

VAPID-Öffentlicher Schlüssel: Indikator: BHR8bZ93 ×3YNBNQcN_dGRYtnWqdsJXR2bXqq3vhfBL1TpfZqrGKXYxATKGNHa25HyaghKK8ZiaFXbIgJqY2624; Beschreibung: Wiederkehrender VAPID-Öffentlicher Schlüssel, der in mehreren SniperDz-Kampagnen zur Registrierung von Browser-Push-Abonnements verwendet wird. Hinweis: IP-Adressen und Domains sind absichtlich defanged (z.

Technik und Auswirkungen

B. [.] ), um eine unbeabsichtigte Auflösung oder Verlinkung zu verhindern. Defang nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihrer SIEM. Tushar ist ein leitender Cybersicherheits- und Datenschutzreporter.

Er spezialisiert sich auf die Berichterstattung über Cybersicherheitsnachrichten, Trends und neue Bedrohungen, Datenlecks und Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. Forscher hat Google mit KI gehackt und 500.000 US-Dollar Bug-Bounty erhalten.

CISA warnt vor einer Check Point Security Gateway-Schwachstelle, die aktiv in Ransomware-Angriffen ausgenutzt wird. Kritische Langflow-Schwachstelle wird zur Ausführung von bösartigem Code ausgenutzt.