Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Una campagna di phishing usa il DNS-over-HTTPS per eludere i controlli

Mar 31, 2025 Marina Londei Attacchi, In evidenza, News, Phishing, RSS 0

I ricercatori di Infoblox hanno scoperto una nuova campagna di phishing che sfrutta il protocollo DNS-over-HTTPS per eludere i controlli di sicurezza.

Battezzata Morphing Meerkat dal team, questa attività sfrutta una i record del DNS mail exchange per caricare e mostrare dinamicamente pagine di login di oltre 100 brand noti. Avendo individuato numerose varianti di questo kit di phishing, il team di Infoblox ritiene che la campagna sia nata da una piattaforma di Phishing-as-a-Service.

Il gruppo è in grado di inviare email di phishing in decine di lingue, tra cui inglese, spagnolo, russo e cinese. Come nella maggior parte delle campagne di phishing, le email richiedono un intervento urgente da parte dell’utente. Nel corpo del messaggio c’è un link che rimanda a una finta pagina di login del servizio target.

L’obiettivo degli attaccanti è, come in campagne analoghe, quello di sottrarre le credenziali degli utenti. Ciò che distingue questa operazione di phishing dalle altre è appunto l’uso del protocollo DNS-over-HTTP per caricare le pagine di login basandosi sul record DNS mail exchange della vittima. “Questa tecnica di attacco è vantaggiosa per i cyberattaccanti perché gli permette di effettuare attacchi mirati alle vittime visualizzando contenuti web correlati al loro provider di servizi e-mail” spiega il team di Infoblox.

Effettuando la richiesta lato client e usando il protocollo DNS-over-HTTP, la request riesce a superare i controlli DNS e quindi viene mostrata la pagina di finto login. “L’esperienza complessiva di phishing sembra naturale perché il design della pagina di destinazione è coerente con il messaggio dell’e-mail di spam. Questa tecnica aiuta l’attaccante a indurre la vittima a inviare le proprie credenziali di posta elettronica attraverso il modulo web di phishing“.

Pixaba

Ad oggi il gruppo ha inviato centinaia di email di spam usando server mail di ISP noti come iomart, del Regno Unito, e HostPapa, degli Stati Uniti, i quali contano il 50% del totale delle email inviate.

La piattaforma usata dal gruppo offre numerosi servizi agli utenti, tra cui l’invio massivo di email di spam. Tra le feature messe a disposizione c’è anche l’uso di finti record DNS mail exchange che individuano l’email service provider per mostrare pagine di login false e raccogliere i dati di autenticazione.

Infoblox riporta che il gruppo è attivo almeno dal 2020, ma che ha agito per anni senza essere individuato. Nel corso del tempo, Morphing Meerkat ha migliorato le proprie tecniche e riesce ora a simulare pagine di login di 114 brand e servizi.

Viste le tecniche utilizzate per il phishing, oltre al DNS-over-HTTP, le operazioni del gruppo sono particolarmente ostiche da individuare. I ricercatori di Infoblox consigliano alle organizzazioni di rendere ancora più stringenti i controlli via DNS, in modo che gli utenti non comunichino con i server DNS-over-HTTP.

Condividi l'articolo

DNS, DNS over HTTP, Phishing

Le vulnerabilità dei tool RMM aprono nuove opportunità ai cybercriminali CERT-AGID 22-28 marzo: in vendita sul darkweb i documenti dello smishing a tema INPS