Opisywany „lotniczy” atak phishingowy wykorzystuje różne techniki, które służą przestępcom do przechwycenia poufnych danych i zainstalowania u ofiar zaawansowanego uporczywego zagrożenia (Advanced Persistent Threat, APT). Atak z podszywaniem się pod linię lotniczą łączy dwie lub więcej technik ofensywnych.

Pierwsza technika to impersonacja. Napastnik podaje się za biuro podróży lub za pracownika z działu kadr lub finansów, który wysyła do ofiary e-bilet lotniczy. Wiadomość jest tak skonstruowana, że może nie wzbudzić wątpliwości u nieprzeszkolonego odbiorcy. Oto przykładowy wiersz tematu wiadomości email:

 Fwd: United Airlines: Confirmation - Flight to Tokyo - $3,543.30

W dobrze przygotowanym ataku napastnik specjalnie dostosowuje wiadomość do ofiary. Linie lotnicze, cel podróży i cena są dobrane tak, żeby wyglądały na autentyczne w kontekście danej firmy i odbiorcy.

Po nakłonieniu pracownika do otwarcia wiadomości napastnik wykorzystuje drugie narzędzie, którym jest osadzone w załączniku zagrożenie APT. Załącznik, zazwyczaj potwierdzenie lotu lub płatności, jest sformatowany jako dokument formatu PDF lub DOCX. W ataku tego typu złośliwe oprogramowanie jest uruchamiane w momencie otwarcia dokumentu.

Według analiz Barracuda Networks w lotniczych atakach phishingowych napastnikom w ponad 90 proc. przypadków udaje się nakłonić pracowników do otwarcia fałszywej wiadomości i uruchomienia złośliwego oprogramowania malware. Jest to jeden z najwyższych wskaźników skuteczności wśród ataków phishingowych.

Zaobserwowaliśmy też ataki, w których używano łączy do witryny phishingowej, mającej  wyłudzać wrażliwe dane od ofiary. Witryna ta przypomina stronę linii lotniczej albo system rozliczeniowy lub podróżny używany przez firmę. Ten etap procesu ma skłonić ofiarę do podania nazwy użytkownika i hasła do sieci korporacyjnej. Napastnik przechwytuje dane logowania i wykorzystuje je do infiltracji sieci oraz wewnętrznych systemów firmy, takich jak bazy danych, serwery pocztowe i serwery plików.

Podsumowując, cyberprzestępcy wykorzystują trzy techniki:

Impersonacja (podszywanie się pod firmy, instytucje lub osoby). Badanie wewnętrznej struktury organizacyjnej firmy oraz wzorów komunikacji pomaga napastnikom stworzyć wiadomość e-mail, która wygląda na autentyczną. Dzięki impersonacji wiadomości są często otwierane przez ofiary (w ponad 90 proc. przypadków!).

Złośliwe oprogramowanie – APT. Zagrożenie APT trafia do sieci w momencie otwarcia załącznika. Ofiara ufa załącznikowi ze względu na ukierunkowaną treść wiadomości.

Phishing. Napastnik wykorzystuje pozorną autentyczność wiadomości, aby wyłudzić dane ofiary za pomocą fałszywej strony logowania. Po uzyskaniu danych logowania może łatwo uzyskać dostęp do wewnętrznych danych i komunikacji w firmie.

Etapy te uzupełniają się nawzajem, ostatecznie umożliwiając przestępcy przeprowadzenie dodatkowych ataków, takich jak wyłudzanie okupu lub pozostanie w ukryciu i następnie dokonanie zwiadu w docelowej sieci. W tym momencie napastnik przejmuje kontrolę.

Firmy chcące blokować ataki tego typu powinny używać wielowarstwowych zabezpieczeń. Pierwszą warstwą jest „piaskownica”. Efektywna piaskownica w połączeniu z zapobieganiem zagrożeniom APT powinna zablokować złośliwe oprogramowanie, zanim jeszcze dotrze ono do korporacyjnego serwera pocztowego. Druga warstwa to ochrona przed phishingiem. Zaawansowane mechanizmy antyphishingowe z funkcją ochrony łączy wyszukują łącza do witryn, które zawierają złośliwy kod. Łącza do tych zainfekowanych witryn są blokowane, nawet jeśli ukryto je głęboko w treści dokumentu. Trzecią warstwą są szkolenia i działania na rzecz uświadamiania pracowników. Regularne szkolenia i testy zwiększają świadomość pracowników i pomagają im zidentyfikować ukierunkowane ataki, a przez to zapobiec zainfekowaniu wewnętrznej sieci firmy.