Onderzoekers van Barracuda hebben een phishingtechniek ontdekt waarbij de nepwebsite niet op een server staat, maar rechtstreeks in de browser van het slachtoffer wordt opgebouwd. De aanval maakt gebruik van blob-URL’s en misbruikt legitieme Microsoft-diensten om detectie te omzeilen. Volgens Barracuda ontbreekt hierdoor een vaste phishing-URL die securitytools kunnen blokkeren.
Uit onderzoek van Barracuda blijkt dat cybercriminelen een phishingtechniek gebruiken waarbij de phishing-pagina niet op een reguliere webserver draait, maar lokaal in de browser van het slachtoffer wordt gegenereerd. Dit gebeurt met behulp van zogeheten blob-URL’s: tijdelijke, door de browser aangemaakte adressen die verwijzen naar content in het lokale geheugen in plaats van naar een website. Barracuda meldt dat slachtoffers tijdens de aanval worden omgeleid via legitieme Microsoft-diensten, waardoor waarschuwingssignalen die normaal bij phishing horen wegvallen.
Werkwijze in de browser
Volgens Barracuda ontbreekt bij deze aanval een traditionele phishing-pagina die securityteams kunnen blokkeren. De content bestaat alleen binnen de specifieke browsersessie van het slachtoffer en is daardoor niet vooraf te analyseren of op een blocklist te plaatsen. Zodra de pagina op basis van een blob-URL is geladen, registreert deze volgens het bedrijf een zogenoemde service worker, een browsercomponent die op de achtergrond netwerkverzoeken en paginagedrag kan beheren. Een deel van de aanval speelt zich daarnaast af binnen een sandboxed iframe, een geïsoleerd venster binnen de pagina. Barracuda stelt dat deze combinatie de navigatie en netwerkverzoeken stuurt zonder dat daar een reguliere website voor nodig is.
Misbruik van Microsoft-infrastructuur
Barracuda geeft aan dat de aanval slachtoffers gedurende het hele proces via legitieme Microsoft-diensten leidt, waaronder login.microsoftonline.com en Microsoft Teams. Omdat gebruikers steeds binnen vertrouwde Microsoft-omgevingen lijken te blijven, is de kans volgens het bedrijf kleiner dat zij de activiteit als verdacht herkennen. De phishing-workflow ontvangt daarbij via browsermechanismen instructies van de infrastructuur van de aanvallers, waardoor bestemmingen en gedrag volgens Barracuda in real-time kunnen worden aangepast in plaats van vast te liggen in vooraf ingestelde redirects.
De onderzochte phishingmail bevat ook een agenda-uitnodiging als bijlage. Deze bijlage maakt volgens Barracuda geen deel uit van de schadelijke payload, maar zorgt er wel voor dat het bericht meer op reguliere zakelijke communicatie lijkt, wat het vertrouwen van de ontvanger vergroot.
Ashitosh Deshnur, Associate Threat Analyst bij Barracuda, licht toe dat deze campagne laat zien hoe phishing zich ontwikkelt voorbij nepwebsites en verdachte domeinen. Volgens Deshnur verdwijnen hiermee veel van de indicators waarop securityteams traditioneel vertrouwen voor detectie. Hij stelt dat organisaties zich daarom moeten richten op het herkennen van schadelijk gedrag en het versterken van identity-security, in plaats van uitsluitend te vertrouwen op het blokkeren van bekende phishing-URL’s.
Advies van Barracuda
Barracuda adviseert organisaties om OAuth-autorisatieprocessen en redirect chains te monitoren op ongebruikelijke bestemmingen en browseractiviteit rond blob-URL’s te analyseren, met name bij inlogpagina’s. Het bedrijf raadt daarnaast aan verdachte registraties van service workers te detecteren wanneer deze samenhangen met externe content en phishing-bestendige multi-factor authenticatie toe te passen, zoals FIDO2-securitykeys en passkeys. Ook wijst Barracuda op het belang van e-mailsecurity die de volledige klikroute analyseert in plaats van alleen de oorspronkelijke URL, en op training van medewerkers om alert te blijven bij onverwachte verzoeken om documenten te ondertekenen, ook wanneer links gebruikmaken van vertrouwde Microsoft-infrastructuur.
