Het Wazza phishkit gebruikt een geavanceerde meerfasige routering om phishingpagina's te verbergen en richt zich op banken, overheid en industrie in VS, EU en Australië.
Phishingkits zijn geëvolueerd van simpele namaak-inlogpagina's naar complexe infrastructuren met filtering, sessiebeheer en verkeerscontrole. Het nieuwe Wazza phishkit, ontdekt door ANY.RUN, richt zich op banken, overheidsinstanties en productiebedrijven in de Verenigde Staten, Europa en Australië.
De campagne maakt gebruik van een meerfasige routeringsketen om bezoekers en geautomatiseerd verkeer te screenen voordat een phishingpagina met Adobe Device Code-thema wordt getoond. Dit maakt Wazza meer dan een gewone kwaadaardige URL, omdat aanvallers hiermee het pad naar de uiteindelijke lokmiddel kunnen beheersen. Hierdoor is de initiële link minder informatief en wordt geautomatiseerde detectie bemoeilijkt. Managed Security Service Providers (MSSPs) ondervinden hierdoor extra uitdagingen bij het onderzoeken van meldingen over meerdere klantomgevingen, wat kan leiden tot langere onderzoekstijden en onnodige escalaties.
Wazza stuurt niet elke bezoeker direct naar de phishingpagina. Via een wildcard landingsdomein wordt eerst gecontroleerd of de hostnaam bij een actieve campagne hoort. Vervolgens wordt contact gelegd met een externe service die een clientmarker afgeeft om bezoeken te correleren. Daarna wordt een kortdurende, ondertekende sessietoken gegenereerd, die bij een validatiepunt wordt geverifieerd samen met browsertelemetrie om ongewenst verkeer te filteren. Pas na deze controles bereikt de bezoeker de Adobe-thema phishingpagina met Device Code authenticatie, waarmee aanvallers zich richten op accountauthenticatie in plaats van alleen wachtwoorddiefstal. Deze gelaagde aanpak betekent dat het lokmiddel slechts een onderdeel is van een grotere operatie en dat een URL pas verdacht wordt bij het reproduceren van het gedrag in de juiste omgeving. Een analyse van Wazza in ANY.RUN’s interactieve sandbox toont deze complexe aanvalsketen inzichtelijk.
De getroffen sectoren, waaronder banken, productiebedrijven en overheidsorganisaties, beheren waardevolle processen en gevoelige informatie die aantrekkelijk zijn voor aanvallers. Financiële instellingen verwerken gevoelige accounts en transacties, productiebedrijven zijn afhankelijk van onderling verbonden systemen en overheden beheren vertrouwelijke data. De campagne illustreert hoe phishing steeds geavanceerder wordt en benadrukt het belang van context bij het onderzoeken van verdachte activiteiten.
