Badacze Barracudy opisali kampanię phishingową, w której fałszywa strona logowania nie jest klasycznie hostowana na zewnętrznym serwerze. Ofiara przechodzi przez prawdziwe elementy infrastruktury Microsoft OAuth i Teams, a dopiero później przeglądarka tworzy stronę phishingową lokalnie jako blob: URL. Dzięki temu część typowych mechanizmów opartych na blokowaniu znanych adresów phishingowych traci punkt zaczepienia.

Jak wygląda atak wykorzystujący blob URL?

Według analizy Barracuda Threat Research kampania zaczyna się od wiadomości stylizowanej na DocuSign. W załączniku znajduje się zaproszenie kalendarzowe prowadzące do prawdziwego endpointu Microsoft OAuth. Odpowiednio przygotowane przekierowanie prowadzi dalej przez Teams do zewnętrznego zasobu.

Dopiero w przeglądarce ofiary zawartość jest zamieniana na blob URL i renderowana jako strona logowania. Service worker i sandboxowany iframe pozwalają sterować przebiegiem phishingu z backendu napastnika.

Dlaczego taka technika jest trudniejsza do wykrycia?

Nie istnieje jedna klasyczna strona phishingowa, którą można wcześniej odwiedzić, sklasyfikować i dodać do blokady. Dodatkowo początkowa część ścieżki wykorzystuje legalne domeny Microsoft. Nie oznacza to, że atak jest niewykrywalny, ale wymaga analizowania całego łańcucha przekierowań i zachowania przeglądarki, a nie tylko pierwszego linku.

Dla użytkownika najważniejsza pozostaje ostrożność wobec nieoczekiwanych próśb o podpisanie dokumentu lub ponowne logowanie, nawet jeśli pierwszy adres wygląda wiarygodnie.

Źródło: Barracuda – Phishing pages that exist only inside the victim’s browser