De Quantum Route Redirect Kit: een nieuwe golf van gerichte phishingaanvallen

• Detectie van mens vs. bot: De kit kan onderscheid maken tussen echt menselijk verkeer en geautomatiseerde bots of scanners. Echte gebruikers worden doorgestuurd naar phishingwebsites, terwijl bots worden omgeleid naar onschuldige, legitieme domeinen (bijv. google.com).
• Gerichte phishing: Zodra een echte gebruiker is geïdentificeerd, wordt deze doorgestuurd naar een phishingpagina die is ontworpen om inloggegevens te onderscheppen. Deze gegevens geven toegang tot gevoelige bedrijfsinformatie en zijn daardoor een aantrekkelijk doelwit voor aanvallers.
• Gecentraliseerde controle via het Quantum-dashboard: Cybercriminelen kunnen alle aspecten van hun phishingcampagnes beheren via een gecentraliseerd dashboard. Dit stelt hen in staat om slachtofferactiviteit te volgen, omleidingsregels te configureren en slachtofferlogs in realtime te analyseren.

Tijdens ons onderzoek kregen we toegang tot verschillende actieve Quantum-dashboards, waardoor we campagneconfiguraties, omleidingsregels en slachtoffergegevens konden analyseren. In één geval zagen we dat 1.052 gebruikers probeerden een phishingwebsite te bezoeken. Hoewel de configuratie van de kit gebrekkig was — waardoor veel gebruikers onterecht als bots werden gecategoriseerd en naar veilige domeinen werden doorgestuurd — konden we waardevolle informatie verzamelen over de aanvalsinfrastructuur.

De ontdekte kwaadaardige infrastructuur wordt actief geblokkeerd via onze SecureDNS-oplossing.

Ons SOC-team kreeg daarnaast toegang tot de volledige Quantum Redirect Phishing Kit en analyseerde deze grondig. Dit speelde een cruciale rol in het begrijpen van hoe dreigingsactoren bots onderscheiden van echte gebruikers en stelt ons in staat onze klanten beter te beschermen.

Onze diepgaande analyse van de Quantum Route Redirect Kit bracht verschillende belangrijke bevindingen aan het licht:

• Meer dan 600 kwaadaardige domeinen: We identificeerden meer dan 600 domeinen die in deze phishingcampagnes werden gebruikt. Al deze domeinen zijn door SecureDNS geblokkeerd om verdere bedreigingen voor onze klanten te voorkomen.
• Analyse van IP-adressen: We verkregen logs van IP-adressen die als “gephisht” waren gemarkeerd of naar kwaadaardige inhoud werden doorgestuurd. Deze IP’s werden vergeleken met onze interne telemetrie, en we kunnen bevestigen dat geen van onze klanten door deze phishingkit werd getroffen op het moment van onze analyse.
• Frequente misconfiguraties: De Quantum Route Redirect Kit is vaak slecht geoptimaliseerd en verkeerd geconfigureerd. Hierdoor werd een aanzienlijk aantal gebruikers onterecht als bots aangemerkt en naar een onschuldig domein doorgestuurd. We hebben deze kennis gebruikt om onze detectiemechanismen verder te verfijnen, zodat gelijkaardige fouten niet leiden tot gemiste dreigingen.
• Wat online werd bestempeld als een zeer geavanceerde phishingkit, bleek in werkelijkheid een slecht ontwikkelde phishingkit te zijn.
• De phishingkit volgde geen enkele best practice op het vlak van veilige softwareontwikkeling, zoals:
  • het beveiligen van directe toegang tot configuratiebestanden, administratieve pagina’s en broncode;
  • alle configuraties en “phishingdomeinen” waren toegankelijk zonder in te loggen op het beheerpaneel van de Quantum Route Redirect Kit.
  • Deze slechte optimalisatie stelde ons in staat om toegang te krijgen tot een grote hoeveelheid informatie over de phishingkit.
• De phishingkit was ontwikkeld om bots te ‘detecteren’ en te onderscheiden van echte gebruikers.
  De manier waarop de code bepaalt of je een bot bent, is zeer eenvoudig:
  • Eerst wordt gecontroleerd of je een bekende browser gebruikt. Met “bekend” bedoelen we een browser die voorkomt in de lijst van browsers die aan de phishingkit zijn gekoppeld.
  • Daarna wordt gecontroleerd welk type toestel je gebruikt (mobiel, Mac, Windows, …).
  • Als aan één van deze voorwaarden niet wordt voldaan, word je gecategoriseerd als “bot”.
  • Dit betekent ook dat als je een browser gebruikt zoals Brave, of een andere browser die niet in de lijst voorkomt, je automatisch wordt doorgestuurd naar de “bot”-URL.

Hoewel vroege rapporten aangaven dat 80% van de slachtoffers van Quantum-gebaseerde phishingcampagnes uit de Verenigde Staten afkomstig was, bracht ons onderzoek een ander patroon aan het licht. We zagen een duidelijke focus op West-Europa. We detecteerden bijna 2.000 Europese IP-adressen die op deze portals geregistreerd stonden als zijnde verbonden met de phishingkit.

De meeste daarvan werden als bot gedetecteerd, en een deel werd doorgestuurd naar de tweede fase van de phishingcyclus.

De getroffen landen waren:

• België
• Frankrijk
• Duitsland
• Zwitserland
• Oostenrijk
• Nederland

Hoewel wij uitgebreide maatregelen hebben genomen om onze klanten te beveiligen, moedigen we u ook aan om de volgende best practices te volgen om het risico op phishing en andere cyberdreigingen verder te verkleinen:

• Schakel Multi-Factor Authenticatie (MFA) in
  MFA is een van de meest effectieve manieren om accounts te beschermen, zelfs wanneer inloggegevens zijn gecompromitteerd.
• Gebruik Conditional Access en risicogebaseerde aanmeldingsbeleid (voor M365-tenants)
  Gebruik beleid om toegang te beperken op basis van gebruikersgedrag, locatie of apparaatriscio, zodat ongeautoriseerde toegang wordt geblokkeerd.
• Wees voorzichtig met links in e-mails of sms-berichten
  Wees altijd waakzaam voor ongevraagde e-mails of berichten met links. Controleer bij twijfel zorgvuldig het domein of ga handmatig naar de officiële bedrijfswebsite om te verifiëren of de communicatie daar ook wordt vermeld.
• Controleer inlogpagina’s
  Controleer altijd de URL van een inlogpagina voordat u uw gegevens invoert. Authentieke M365-inlogpagina’s behoren altijd tot domeinen die eigendom zijn van Microsoft.
• Houd systemen volledig up-to-date
  Zorg ervoor dat browsers, besturingssystemen en beveiligingssoftware altijd zijn voorzien van de nieuwste updates en patches.
• Meld verdachte e-mails onmiddellijk
  Ontvangt u een verdacht bericht, meld dit dan binnen uw organisatie.
  U kunt verdachte berichten ook doorsturen naar [email protected] 

Dankzij onze proactieve maatregelen en continue analyse van de Quantum Route Redirect Kit hebben we met succes het merendeel van de domeinen die aan deze phishingdreiging zijn gekoppeld geblokkeerd. Zo blijft uw organisatie veilig. We blijven onze verdediging monitoren en aanpassen om nieuwe dreigingen steeds een stap voor te blijven, zodat u zich kunt concentreren op wat echt belangrijk is voor uw bedrijf.

Voor meer informatie of vragen kunt u altijd contact opnemen met ons Support Team via [email protected]