GTFire est un acteur de la menace qui exploite Google Firebase pour héberger des pages de phishing et Google Traduction pour dissimuler des URL malveillantes, contournant efficacement les filtres de sécurité. La campagne emploie une chaîne de redirection en plusieurs étapes pour masquer la destination finale du phishing et utilise des scripts de phishing PHP All-in-1 pour un déploiement rapide et la collecte d'identifiants. Les identifiants sont exfiltrés via des paramètres d'URL dans une requête HTTP GET standard, avec une charge opérationnelle minimale.
References
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).