Operation CloudFire: yangi phishing kampaniyasi Google sessiyalarini o'g'irlab, MFA ni chetlab o'tmoqda

2026-yil avgust oyining o'rtalaridan boshlab kiberjinoyatchilar korporativ foydalanuvchilarning faol Google sessiyalarini qo'lga kiritishga qaratilgan murakkab phishing operatsiyasini amalga oshirmoqda. Tajovuzkorlar himoya tizimlari tayanadigan barcha standart xavfsizlik signallari xavfsiz javob qaytarishi uchun maxsus zanjir qurgan.

• Xabarlar Google Calendar takliflari shaklida yetkazib berilib, ishonchli yo'naltiruvchilardan foydalanadi.
• Hujumchilar parollar va ko'p faktorli autentifikatsiya (MFA) kodlarini real vaqtda ushlab qolish uchun jonli orqa proksi-serverni ishlatadi.
• Infrastruktura Cloudflare Turnstile va brauzerda yaratiladigan soxta kirish sahifalariga asoslangan.
• Material Security tadqiqotchilari CloudFire operatsiyasini boshlab, 900 ga yaqin zararli domenlarni blokdan chiqardi.

Hujum mexanizmi va himoya tizimlarini aldash

Xabarlar Google Calendar takliflari orqali kelib tushadi, ular ko'pincha jabrlanuvchi oldindan yozishmalar olib borgan tashkilotlarning kompromizga uchragan akkauntlaridan yuboriladi. Bahona sifatida ovozli pochta bildirishnomalari, RFP so'rovlari yoki to'lov bildirishnomalari ishlatiladi. Havolalar Google'ning o'zining /url yo'naltiruvchisiga yoki Google Drive fayllariga olib boradi, bu esa domenlar repulsiyasi tekshiruvlaridan muvaffaqiyatli o'tishni ta'minlaydi.

Havolalar ortida Google'ning haqiqiy kirish sahifasi oldida ishlaydigan jonli teskari proksi-server yashiringan. Jabrlanuvchi parol kiritadi va MFA so'rovini tasdiqlaydi, operator эsa seansni real vaqt rejimida kuzatib boradi. Server SMS kodlari, autentifikatsiya kodlari va Tap-Yes tasdiqlarini Google'ga darhol yetkazib beradi, shuning uchun hech qanday ikkinchi faktor himoyasi seans o'g'irlanishiga to'sqinlik qila olmaydi.

Uch qatlamli arxitektura va Operation CloudFire

Hujum ortidagi arxitektura uchta qatlamdan iborat: birinchisi Google yo'naltiruvchisi, ikkinchisi Cloudflare Turnstile chaqiruvi, uchinchisi esa brauzerda JavaScript orqali yaratiladigan parol yig'ish sahifasi. Ushbu yondashuv skanerlash vositalariga hech qanday statik sahifa qoldirmaydi. Infrastruktura bir martalik foydalanish uchun mo'ljallangan bo'lib, domenlar hujumdan bir necha kun oldin ro'yxatdan o'tkaziladi.

Material Security xavfsizlik jamoasi an'anaviy qoidalar va mashinali o'qitish yetarli emasligini tushunib, Operation CloudFire operatsiyasini boshladi. Shlyuz va backend-URL manzillari tahlil qilinib, Cloudflare suiiste'mol qilish haqida xabar berish tizimi orqali xabar qilindi. Natijada yuzlab domenlar bloklandi va internet foydalanuvchilari zararli havolalarga kirganda ogohlantirishlarni ko'ra boshladi.

Biznes uchun ahamiyati va xavfsizlik choralari

Hujumning asosiy maqsadi parolni o'g'irlash emas, balki Google Workspace sessiyasini to'liq qo'lga kiritishdir. Bu esa xakerlarga pochta, Disk va jabrlanuvchi nomidan OAuth ruxsatlarini berish huquqini taqdim etadi. Tashkilotlar o'zlarining audit loglarini tekshirish tezligini oshirishi hamda sessiyalarni bir soat ichida bekor qilish imkoniyatiga ega bo'lishi muhim ahamiyat kasb etadi.