Microsoft cảnh báo thủ đoạn lừa đảo giả mạo website đặt phòng

Chiến dịch lừa đảo này được cho là bắt đầu diễn ra từ tháng 12/2024, nhằm vào những người làm việc trong ngành dịch vụ khách sạn tại Bắc Mỹ, Đông Nam Á và châu Âu. Microsoft cho biết nhóm tin tặc có tên Storm-1865 đứng sau những vụ lừ đảo này.

Để thực hiện hành vi lừa đảo, nhóm Storm-1865 xác định các tổ chức mục tiêu trong ngành khách sạn và tiếp cận các cá nhân có khả năng làm việc trực tiếp với Booking.com. Sau đó, nhóm này gửi các email giả mạo với nội dung được thiết kế tinh vi để đánh lừa người nhận. Nội dung email rất đa dạng, bao gồm: khiếu nại/đánh giá tiêu cực từ khách hàng, tin nhắn từ các khách hàng tiềm năng, cơ hội quảng bá cho khách sạn, yêu cầu xác minh tài khoản…

Email lừa đảo thường chứa một link hoặc tệp đính kèm dạng PDF có chứa link, giả mạo dẫn người nhận đến trang web chính thức của Booking.com. Khi nhấp vào liên kết, nạn nhân sẽ được chuyển hướng đến một trang web hiển thị lớp CAPTCHA giả chồng lên nền trang được thiết kế tinh vi, bắt chước giao diện của Booking.com. Trang web này ngụy tạo các bước thực hiện xác minh của Booking, khiến người dùng mất cảnh giác và dễ bị lừa hơn.

Mã CAPTCHA giả chính là nơi trang web áp dụng kỹ thuật lừa đảo ClickFix để tải xuống phần mềm độc hại. Kỹ thuật này hướng dẫn người dùng sử dụng tổ hợp phím tắt để mở cửa sổ Windows Run, sau đó dán và thực thi một lệnh mà trang web đã tự động sao chép vào bộ nhớ tạm.

Microsoft cho biết công ty đã phát hiện nhiều loại phần mềm độc hại khác nhau được sử dụng trong các cuộc tấn công này, bao gồm XWorm, Lumma stealer, VenomRAT, AsyncRAT, Danabot và NetSupport RAT, tất cả đều cho phép tin tặc đánh cắp thông tin tài chính và thông tin đăng nhập.