Útočníci zneužívajú no-code platformu SOFTR na zber prihlasovacích údajov

Varovanie pred phishingovou kampaňou

Národné centrum kybernetickej bezpečnosti (NCKB) NBÚ varuje pred rozsiahlou phishingovou kampaňou zameranou primárne na súkromné firmy a štátne inštitúcie. Jej cieľom je vylákať od obetí prihlasovacie údaje k ich e-mailovým schránkam.

Predmetná kampaň sa šíri prostredníctvom e-mailov s tematikou upozornení na vypršanie platnosti hesla k poštovej schránke a text správy používateľa vyzýva na reakciu. Útočníci falošné varovania rozposielajú z legitímnych, avšak kompromitovaných adries. Charakteristickými znakmi kampane je kombinácia zobrazovaného mena odosielateľa „Systémový administrátor“ a predmetu správy „POZOR: Vypršanie Hesla Dnes“.

Útočník týmto spôsobom napodobňuje reálne procesy organizácie a zneužíva princípy sociálneho inžinierstva ako sú navodenie dojmu autority a pocitu časovej urgencie.

Príklady phishingových správ s redigovanými e-mailovými adresami

Text je netypicky štylizovaný – správa síce upozorňuje na uplynutie platnosti hesla, no v dvoch krokoch útočníci obeť explicitne nabádajú ponechať si pôvodné heslo, čo je v priamom rozpore so samotnou podstatou politiky pravidelnej zmeny hesiel a obmedzenia ich časovej platnosti.

Útočníci sa snažia zvýšiť dôveryhodnosť pôvodnej správy aj dodatočným textom na jej konci, ktorý obsahuje referenciu na názov používanej e-mailovej služby alebo doménu organizácie.

Telo správy obsahuje hypertextový odkaz s textom „✅ Ponechajte si existujúce heslo“, ktorý po kliknutí obeť presmeruje na falošné prihlasovacie okno s nadpisom „SPRÁVCA SYSTÉMU“. Po zadaní prihlasovacích údajov a odoslaní formulára sú dáta obete exfiltrované na e-mailovú adresu útočníka. Útočníci na vytvorenie  phishingového obsahu a jeho prevádzku zneužívajú legitímnu no-code platformu Softr.

Príklady phishingového obsahu pre zber prihlasovacích údajov

Dlhodobé zneužívanie platformy Softr

Softr je legitímna no‑code platforma určená na tvorbu webových aplikácií s natívnymi AI funkciami, ktorá nevyžaduje žiadne programátorské znalosti. Podľa bezpečnostných výskumníkov ju však útočníci aktívne zneužívajú na phishingové účely už od mája 2023.

Využívanie podobných platforiem prináša útočníkom množstvo výhod: umožňuje rýchlu a jednoduchú tvorbu phishingových rozhraní, automatické generovanie TLS certifikátov, hosting webového obsahu či rýchle načítavanie stránok prostredníctvom CDN (Content Delivery Network).

Keďže domény typu softr.app sú vo všeobecnosti považované za dôveryhodné, bez detailnej analýzy obsahu nie je možné spoľahlivo určiť, či ide o legitímnu stránku alebo phishing. Útočníkom to umožňuje obchádzať bezpečnostné mechanizmy založené na reputačných databázach a URL filtrovaní.

Ani moderné viacfaktorové overovanie (MFA) nemusí byť dostatočnou ochranou. Najnovšie phishingové frameworky, ktoré útočníci využívajú aj v kampaniach zneužívajúcich Softr, dokážu MFA obísť pomocou techniky AitM (Adversary in the Middle). Po kliknutí na škodlivý odkaz je útočník okamžite upozornený a v reálnom čase sleduje celú prihlasovaciu reláciu obete. Obeť najprv zadá svoje heslo a následne aj MFA kód – oba údaje sú však okamžite odoslané útočníkovi, ktorý ich v tom istom momente použije voči legitímnemu poskytovateľovi služby. Týmto spôsobom získa platný session cookie a plnohodnotný prístup k účtu, a to aj napriek tomu, že MFA bolo úspešne použité.

Odporúčania

Vzhľadom na intenzitu a rozsah prebiehajúcej kampane NCKB pre účely prevencie odporúča:

Preventívne opatrenia:

• Nevykonávajte zmenu, aktualizáciu či predĺženie platnosti hesla prostredníctvom odkazov v e-mailových správach: ak obdržíte správu navádzajúcu na zmenu, aktualizáciu či predĺženie platnosti hesla, predmetný úkon vykonajte prostredníctvom na to určených nastavení priamo cez Váš e-mailový klient alebo webovú aplikáciu.
• Dodržiavanie základnej e-mailovej hygieny: nikdy neklikajte na odkazy a nesťahujte súbory, ktoré neočakávate, nepoznáte alebo sú podozrivého charakteru. Ak je to možné, preverte legitimitu správy prostredníctvom overených kanálov.
• Aktivácia viacfaktorovej autentifikácie na všetkých dôležitých systémoch a službách, ktoré ju podporujú: aj v prípade odcudzenia prihlasovacích údajov tak potenciálne vytvoríte dodatočnú prekážku útočníkovi.

Ak ste klikli na odkaz v správe, alebo vyplnili predmetný formulár:

• Kontaktujte vášho správcu IT: v prípade, že sa nachádzate v organizácii, ktorá disponuje správcom IT, bezodkladne ho upovedomte o situácii a podrobne mu opíšte priebeh incidentu.
• Zmena prihlasovacích údajov: čo najrýchlejšie zmeňte prihlasovacie údaje do všetkých služieb, do ktorých ste sa prihlasovali rovnakým heslom či kľúčom, počínajúc primárnou e-mailovou schránkou.
• Odhlásenie všetkých aktívnych relácií: v nastaveniach vášho e-mailového účtu ukončite všetky aktívne spojenia k danému účtu a odhláste všetky pripojené zariadenia.
• Dodatočná kontrola účtov: vykonajte kontrolu možných zmien v nastaveniach účtu ako sú napr. pravidlá pre preposielanie alebo mazanie pošty, povolené zariadenia.

Zdroje a odkazy:

• vlastná analytická činnosť NCKB
• https://blog.talosintelligence.com/ir-trends-q1-2026/
• https://bromure.io/en/blog/the-phish-that-built-itself
• https://pages.pedf.cuni.cz/hrozby/page/2/

IOC:

• hXXps://brendan67981.softr[.]app
• hXXps://dewayne33096.softr[.]app
• hXXps://dewayne33096.softr[.]app
• hXXps://dorla77172.softr[.]app
• hXXps://fidel9894.softr[.]app
• hXXps://norris30013.softr[.]app
• hXXps://sydney92492.softr[.]app
• hXXps://thepublicplanet[.]com/outbound?url=//dorla77172.softr[.]app

« Späť na zoznam