Laut CTM360 beginnt der Angriff mit einer unaufgeforderten Nachricht, die scheinbar von einem Recruiter einer bekannten Organisation stammt. Der Link führt entweder auf eine gefälschte Terminseite im Stil von Calendly oder auf ein markenspezifisches Bewerbungsportal. Die erste Variante übernimmt das Erscheinungsbild des angeblichen Arbeitgebers und kann Namen, Fotos und Jobtitel realer Recruiter aus öffentlich zugänglichen Quellen wiederverwenden. Die zweite fordert die Zielperson auf, einen Termin auszuwählen und grundlegende Kontaktdaten einzugeben.
Beide Wege enden bei einer Anmeldeaufforderung über Google oder Facebook. Dafür setzen die Betreiber eine Browser-in-the-Browser-Technik ein: Das angebliche Authentifizierungsfenster zeigt eine gefälschte Adressleiste und ein Schloss-Symbol, um Legitimität vorzutäuschen. Auf Mobilgeräten kann dieser Schritt laut CTM360 als vollflächige, nachgemachte Login-Seite erscheinen.
Die technische Analyse einer im Calendly-Stil gehaltenen Phishing-URL ergab laut CTM360, dass die Seite nicht nur ein statisches Formular war, sondern wie eine Zustandsmaschine arbeitete. Ein Frontend auf Basis von Svelte beziehungsweise SvelteKit führte Opfer schrittweise durch CAPTCHA, Benutzernamen- und Passwortabfrage sowie mehrere Verfahren zur Zwei-Faktor-Authentifizierung, darunter Einmalcodes, Telefonnummernabgleich und Suffix-Prüfung.
Ein browserspezifischer Sitzungsbezeichner wurde dabei in sessionStorage abgelegt. Zugleich erlaubte ein dauerhafter Socket.IO-Kanal dem Backend, den jeweils nächsten angezeigten Bildschirm zu steuern. CTM360 zufolge dienten CAPTCHA- und Browser-Neuladeprüfungen dazu, Zugriffe zu filtern, bevor Zugangsdaten eingesammelt wurden. Außerdem schloss die Seite private E-Mail-Domains aus und ließ nur Unternehmenskonten weiter, was die Kampagne auf wertvolle Unternehmensidentitäten konzentrierte.
Sobald ein Opfer seine Zugangsdaten eingab, nutzten die Angreifer diese laut Bericht zur Anmeldung beim echten Dienst. Die Phishing-Seite zeigte daraufhin dieselbe MFA-Abfrage an und leitete den vom Opfer eingegebenen Code an die Angreifer weiter. War die Authentifizierung erfolgreich, erhielten diese eine bereits authentifizierte Sitzung. Um Misstrauen zu mindern, konnte das Opfer anschließend auf eine echte Calendly-Seite umgeleitet werden.
Nach Angaben von CTM360 verwendeten rund 96 Prozent der gefundenen Phishing-Seiten ein Calendly-Thema. Viele setzten Cloudflare ein, um die tatsächlichen Server der Angreifer zu verbergen. Für das gefälschte markenspezifische Bewerbungsportal beobachtete CTM360 116 eindeutige Hosts. Davon nutzten 93,1 Prozent dedizierte oder registrierte Hosts; 50,9 Prozent lagen auf AWS-EC2-IP-Adressen und -Bereichen. Wiederkehrende Hostnamen und erneut genutzte Infrastruktur deuten laut CTM360 auf eine gemeinsame Bereitstellungsbasis mehrerer Phishing-Seiten hin.
Über 813 deduplizierte registrierte Domains hinweg war .cfd mit 40 Prozent die häufigste Top-Level-Domain, gefolgt von .com mit 25,1 Prozent, .info mit 15,1 Prozent, .works mit 10,5 Prozent und .work mit 6,3 Prozent. Die Kampagne ist zudem auf schnelle Umbenennung ausgelegt: Arbeitgebername, Recruiter-Identität, Hintergrund, Slogan und Authentifizierungsanbieter lassen sich austauschen, während derselbe Ablauf mit 30-Minuten-Termin und Login erhalten bleibt.
Zu den am häufigsten missbrauchten Branchen zählten Recruiting, Technologie, Luxusgüter und Reisen; sie machten laut CTM360 rund 58 Prozent der verwendeten Marken aus. Am stärksten angegriffen wurden Marketing-Fachkräfte.