One Article Review
| Source |  RiskIQ |
|---|---|
| Identifiant | 8562036 |
| Date de publication | 2024-08-22 15:11:29 (vue: 2024-08-22 15:18:38) |
| Titre | Be careful what you pwish for – Phishing in PWA applications |
| Texte | #### Géolocations ciblées
- Hongrie
- Géorgie
- Tchéchie
## Instantané
Les chercheurs de l'ESET ont découvert une nouvelle méthode de phishing qui cible les utilisateurs mobiles via des applications Web progressives (PWAS) et des webapks.La campagne de phishing combine des techniques de livraison de phishing standard avec une nouvelle méthode de phishing qui installe une application de phishing à partir d'un site Web tiers sans que l'utilisateur n'ait à permettre une installation d'application tierce.
## Description
Les sites Web de phishing ciblant iOS demande aux victimes d'ajouter un PWA à leurs écrans à domicile, tandis que sur Android, la PWA est installée après avoir confirmé des fenêtres contextuelles personnalisées dans le navigateur.Ces applications de phishing sont largement indiscernables des applications bancaires réelles qu'elles imitent.La campagne de phishing a ciblé les clients des banques tchèques et des banques en Hongrie et en Géorgie.La campagne de phishing utilise trois mécanismes de livraison URL différents, y compris les appels vocaux automatisés, les messages SMS et le malvertising des médias sociaux.La livraison d'appels vocaux se fait via un appel automatisé qui avertit l'utilisateur d'une application bancaire obsolète et demande à l'utilisateur de sélectionner une option sur le clavier numérique.Après avoir appuyé sur le bouton correct, une URL de phishing est envoyée via SMS.La campagne de phishing se propage également via des publicités malveillantes enregistrées sur des plates-formes Meta comme Instagram et Facebook.Après l'installation, les victimes sont invitées à soumettre leurs informations d'identification des services bancaires sur Internet pour accéder à leur compte via l'application de banque mobile de phishing.Toutes les informations soumises sont envoyées aux serveurs de commande et de contrôle des attaquants.
Lisez le rapport de Microsoft \\ [ici] (https://security.microsoft.com/intel-explorer/articles/003295ff) pour plus d'informations sur la malvertising.
## Recommandations
- Installez uniquement les applications à partir de sources de confiance et de magasins officiels, comme le Google Play Store et Apple App Store.
- Ne jamais cliquer sur les liens inconnus reçus via des annonces, des messages SMS, des e-mails ou des sources non fiables similaires.
- Utilisez des solutions mobiles telles que [Microsoft Defender pour le point de terminaison sur Android] (https://learn.microsoft.com/microsoft-365/security/defender-endpoint/microsoft-defender-endpoint-android?view=o365-worldwide) àdétecter les applications malveillantes
- Gardez toujours les applications inconnues inconnues sur le périphérique Android pour empêcher les applications d'être installées à partir de sources inconnues.
- Évitez d'accorder des autorisations SMS, un accès à l'auditeur de notification ou un accès à l'accessibilité à toute application sans comprendre pourquoi la demande en a besoin.Ce sont des autorisations puissantes qui ne sont pas généralement nécessaires.
- Si un appareil ne reçoit plus de mises à jour, envisagez fortement de le remplacer par un nouvel appareil.
## références
[Faites attention à ce que vous pwish pour & # 8211;Phishing dans les applications PWA] (https://www.welivesecurity.com/en/eset-research/be-careful-what-you-pwish-for-phishing-in-pwa-applications/).ESET (consulté en 2024-08-21)
## Copyright
**&copie;Microsoft 2024 **.Tous droits réservés.La reproduction ou la distribution du contenu de ce site, ou de toute partie de celle-ci, sans l'autorisation écrite de Microsoft est interdite.
#### Targeted Geolocations - Hungary - Georgia - Czechia ## Snapshot ESET researchers have discovered a novel phishing method that targets mobile users via Progressive Web Applications (PWAs) and WebAPKs. The phishing campaign combines standard phishing delivery techniques with a new met |
| Notes | ★★★ |
| Envoyé | Oui |
| Condensat | #### **© 2024 2024** 365/security/defender about access accessed accessibility account add additional ads after all allow also always android any app apple application applications applications/ apps apps disabled are asks as attackers automated avoid banking banks being browser button call calls campaign careful click clients com/en/eset com/intel com/microsoft combines command commonly confirming consider content control copyright correct credentials custom czech czechia date defender delivery description detect device different discovered distribution done emails endpoint endpoint/microsoft eset explorer/articles/003295ff facebook from geolocations georgia google granting has have having here home https://learn https://security https://www hungary including indistinguishable information instagram install installation installed installs instruct internet ios keep install keyboard largely like links listener longer malicious malvertising mechanisms media messages meta method microsoft mimic mobile needed needs never new not notification novel numerical official only option out part party permission permissions phishing platforms play pop powerful pressing prevent progressive prohibited prompted pwa pwas pwish read real received receiving recommendations references registered replacing report reproduction research/be researchers reserved rights screens select sent servers similar site sms snapshot social solutions sources spreads standard store stores strong strongly submit submitted such targeted targeting targets techniques thereof these third three through trusted understanding unknown untrusted updates ups url use user users uses victims view=o365 voice warns web webapks website websites welivesecurity what why without worldwide written to |
| Tags | Mobile |
| Stories | |
| Move | 
|
L'article ne semble pas avoir été repris aprés sa publication.
L'article ne semble pas avoir été repris sur un précédent.