O alerta recente da autoridade nacional de cibersegurança de Israel descreve uma campanha de spear‑phishing que usa mensagens WhatsApp para atrair profissionais de segurança e defesa a páginas de registro falsas. A operação mostra sinais de planejamento e reutilização de infraestrutura associada a APTs rastreados anteriormente.
Como a campanha funciona
Mensagens curtas, aparentemente vindas de organizadores de conferências, contêm URLs encurtadas (centro da investigação: msnl[.]ink). Ao clicar, a vítima é redirecionada a páginas de registro forjadas que coletam credenciais e, em alguns casos, oferecem arquivos maliciosos para download.
Atribuição e infraestrutura
Pesquisadores que analisaram padrões de infraestrutura apontam para conexões com o grupo referido como APT42/Charming Kitten. Atribuição baseia‑se em assinatura de infraestrutura: uso consistente de DDNS, padrões de nome de domínio e servidores Microsoft‑IIS/10.0 distribuídos por vários países (Países Baixos, Alemanha, Moldávia e Itália).
Evidências técnicas
- Shortener msnl[.]ink identificado como nó central; opera em conjunto com domínios .ink e .info com padrões repetidos.
- Servidores hospedados em múltiplas jurisdições para dificultar mitigação e derrubada rápida.
- Sites falsos reproduzem páginas de conferência, incluindo campos de registro que visam dados pessoais e profissionais.
Impacto e limites
A campanha é dirigida e, portanto, de alcance limitado em números absolutos, mas com alto valor por vítima, dado o perfil dos alvos (profissionais de segurança e defesa). Não há indicação pública de grande vazamento em massa neste comunicado; entretanto, comprometimentos de contas corporativas ou pessoais podem permitir acesso a ambientes sensíveis.
Mitigações recomendadas
- Treinamento específico para profissionais sobre vetores via mensageiros (WhatsApp/Telegram) e verificação de remetentes.
- Bloqueio e análise de domínios encurtadores suspeitos e revisão de regras de proxy/URL filtering para interceptar redirecionamentos maliciosos.
- Autenticação multifator robusta e monitoramento de sessões atípicas para reduzir impacto de credenciais vazadas.
- Compartilhamento de IOCs entre equipes e atualização de listas de bloqueio com padrões de curto prazo identificados pelos pesquisadores.
Observação final
Campanhas que exploram plataformas de mensagens continuam a ser eficazes por causa da confiança implícita entre contatos. Equipes de segurança devem tratar convites e solicitações inesperadas em mensageiros com a mesma suspeição aplicada a e‑mails e anexos, e instrumentar pontos de controle que detectem redirecionamentos para domínios de curto prazo.