LinkedInフィッシングでAdobeインフラ悪用、認証情報窃取活動を確認

LinkedInフィッシングでAdobeインフラ悪用、認証情報窃取活動を確認

LinkedInを装ったフィッシングメールを利用し、Adobe関連インフラを経由した認証情報窃取活動が確認されている。本件では、LinkedIn関連通知を装ったメールを通じて利用者を外部サイトへ誘導する手法が利用されていた。

攻撃では、ビジネス問い合わせを装ったメールが送信され、添付ファイルとして「契約書」を偽装したHTMLファイルが利用されていた。分析では、送信者情報と実際の企業情報に差異が確認されており、添付ファイルには「pdf.html」のような二重拡張子構成が含まれていた。

添付HTMLには、URLエンコードおよびBase64を利用した難読化JavaScriptが含まれていた。ページ上ではログインフォームを装い、入力された情報を外部サーバーへPOST通信で送信する構成が確認されている。

また、本件ではAdobe Target関連インフラを利用したリダイレクト処理も確認されている。分析では、「lnkd.tt.omtrdc.net」関連URLを経由した通信が確認されており、Adobe Target機能を利用した遷移構成が含まれていた。

さらに、一部ケースでは、最終的にLinkedIn正規ページへ転送する構成も確認されている。これにより、利用者側で不審な遷移として認識されにくい構成となっていた。