Лажни настани за OpenAI, SpaceX и Anthropic се користат за кражба на сметки од Microsoft и Google

Хакери користат лажни покани за настани на OpenAI, SpaceX и Anthropic за да ги намамат вработените во фишинг-напади, при што користат две различни платформи за фишинг како услуга (Phishing-as-a-Service – PhaaS) за кражба на акредитиви и автентикациски сесии од сметките на Microsoft и Google.

Според новиот извештај на Push Security, напаѓачите користат убедливо изработени страници за регистрација на настани, на кои нудат бесплатен пристап до премиум AI-услуги и други награди, со цел да ги измамат жртвите да се најават со своите службени сметки.

Она што ги прави овие напади особено интересни е тоа што истите фишинг-страници интегрираат две одделни платформи за фишинг како услуга (PhaaS), Kali365 и VoidProxy, за напад врз сметките на Microsoft и Google преку различни техники за заобиколување на автентикацијата.

Kali365 изведува фишинг-напади преку код за автентикација на Microsoft уреди (Microsoft device code phishing), додека VoidProxy функционира како посреднички reverse proxy во напад од типот „нападник во средината“ (Adversary-in-the-Middle – AiTM), со цел да ги пресретне најавувањата на Google и да ги украде колачињата за автентикациските сесии.

Нападот врз Microsoft дополнително ја користи платформата VoidProxy во втора фаза, овозможувајќи им на напаѓачите да ги соберат акредитивите и колачињата за сесиите откако преку Kali365 ќе ги добијат токените за автентикација.

Push Security соопшти дека кон крајот на октомври 2026 година открила и блокирала обиди за пристап до злонамерните страници за регистрација на настани.

Оваа кампања следува по слична операција документирана од ANY.RUN во јули, кога напаѓачите злоупотребиле легитимни страници за настани на Zoom за промовирање лажни настани на Meta, OpenAI и Anthropic, кои воделе до фишинг-напади преку код за автентикација на уреди и AiTM-техники.

Cofense, исто така, неодамна објави извештај за фишинг-мејлови кои се претставувале како покани за настани на Anthropic. Тие биле дистрибуирани преку инфраструктурата за е-пошта на GoTo Webinar и ги пренасочувале примателите преку повеќе веб-страници до лажни страници за регистрација.

Лажните AI-настани водат до фишинг-напади за кражба на сметки

Иако не е познато како напаѓачите првично ги дистрибуираат фишинг-линковите, Push Security открила дека жртвите се пренасочуваат кон злонамерни страници за регистрација на настани преку линкови од доверливи услуги, вклучувајќи ги скратувачите на URL-адреси на Google и Zapier.

Поканите од претходните верзии на кампањата биле дистрибуирани и преку системите за е-пошта на GoTo Webinar или преку легитимни страници за настани на Zoom.

Push Security наведува дека напаѓачите користат два сопствени фишинг-комплети, следени под имињата ZoomMock и MSDRoot, за креирање лажни страници за настани кои потоа ги пренасочуваат жртвите кон фишинг-услугите Kali365 и VoidProxy.

Истражувачите веруваат дека зад двата комплета стојат истите напаѓачи, бидејќи тие користат заедничка инфраструктура и исти методи за таргетирање.

Кампањата се претставува како серија настани организирани од OpenAI, SpaceX и Anthropic, со страници за регистрација дизајнирани да изгледаат како легитимни веб-страници за настани.

Една од фишинг-страниците промовира настан на OpenAI со наслов „ChatGPT for Social & Digital Marketing Teams“, на кој на учесниците им се ветуваат три месеци бесплатно користење на ChatGPT Pro.

Друга страница промовира приватен настан на SpaceX, закажан за 12 ноември, на кој на лицата што ќе се регистрираат им се нудат три месеци бесплатно користење на Grok Heavy или „акција на SpaceX“.

Истражувачите откриле и фишинг-страница што се претставувала како настан на Anthropic во рамките на AWS re:Invent 2026, која во меѓувреме веќе била отстранета.

Лажните страници за регистрација им соопштуваат на посетителите дека мора да се најават со своите службени сметки за да се регистрираат и да ги добијат ветените награди.

Пред да ги прикажат лажните страници за регистрација, веб-страниците прикажуваат Cloudflare CAPTCHA со барање „Потврдете дека не сте робот“. На овој начин се спречува автоматизираните безбедносни платформи да ја скенираат фишинг-страницата.

Откако посетителите ќе стигнат до страницата за регистрација на настанот, им се прикажуваат две опции: „Продолжи со Microsoft“ и „Продолжи со Google“.

Кога жртвите ќе ја изберат опцијата Microsoft, фишинг-страницата комуницира со платформата Kali365 за да генерира код за автентикација на Microsoft уред.

Фишинг-нападите преку код за автентикација на уред (device code phishing) се случуваат кога напаѓачот го злоупотребува легитимниот OAuth 2.0 процес за доделување овластувања на уреди (device authorization grant flow), со цел да добие токени за автентикација за сметката на жртвата во Microsoft Entra.

Овие токени потоа можат да се искористат за пристап до ресурсите на корисникот и поврзаните апликации со единствено најавување (Single Sign-On – SSO), како што се Microsoft 365, Salesforce, Google Workspace, Dropbox, Adobe, SAP, Slack, Zendesk, Atlassian и многу други.

Фишинг-нападите преку код за автентикација на уред во минатото биле користени за кражба на податоци и сајбер-шпионажни напади.

На посетителот му се даваат инструкции да го копира кодот и да го внесе на легитимната веб-страница на Microsoft за најава преку уред, каде што треба да се автентицира и да го одобри барањето.

На овој начин, фишинг-платформата Kali365 може да украде токени за автентикација на Microsoft без да бара од жртвата директно да ја открие својата лозинка.

Откако ќе заврши автентикацијата преку кодот за уред, страницата ја пренасочува жртвата кон фишинг-страница за најава во Microsoft, управувана преку VoidProxy, каде што напаѓачите дополнително можат да ја украдат лозинката и колачето за автентикациската сесија на жртвата.

Кога жртвите ќе ја изберат опцијата за автентикација преку Google, фишинг-страницата наместо тоа отвора скокачки прозорец (pop-up) што содржи страница за најава на Google, обезбедена преку PhaaS-платформата VoidProxy.

Платформата функционира како посредник во напад од типот „нападник во средината“ (Adversary-in-the-Middle – AiTM), поставен помеѓу прелистувачот на жртвата и страницата за најава на Google. Таа ги препраќа формуларите за најава и ги краде акредитивите, одговорите од повеќефакторската автентикација (MFA) и колачињата за автентикациските сесии.

И платформите Kali365 и VoidProxy им овозможуваат на напаѓачите да ја заобиколат повеќефакторската автентикација (MFA), преку преземање веќе автентицирана сесија или, во случајот со автентикацијата преку код за уред, преку целосно заобиколување на MFA.

За заштита од ваквите напади, вработените треба да избегнуваат внесување кодови за автентикација на Microsoft добиени од непознати веб-страници и да бидат внимателни со поканите за настани кои бараат најавување со службени сметки за добивање награди.

Организациите, исто така, можат да ја ограничат автентикацијата преку код за уред таму каде што таа не е неопходна и да користат MFA отпорна на фишинг, како што се безбедносните клучеви FIDO2, за да помогнат во спречувањето киднапирање на автентикациските сесии.

Извори:

• Bleeping Computer – Fake OpenAI, SpaceX events used to steal Microsoft, Google accounts Bleeping Computer