GhostFrame – ett nytt svårupptäckt nätfiskepaket som ligger bakom över en miljon attacker

Barracuda varnar i en ny analys för ett svårupptäckt phishing-as-a-service-kit (PhaaS). Den nya paketlösningen, som fått namnet GhostFrame, har följts sedan september 2025 och kopplas redan till över en miljon attacker. Metoden använder iframes, små inbäddade fönster på webbsidor som fylls med skadligt innehåll för att kringgå upptäckt. Det är första gången Barracuda ser ett helt ramverk för nätfiske byggt kring denna teknik.

Samtidigt som GhostFrame är tekniskt enkelt är det mycket effektivt. Till skillnad från de flesta nätfiskekit använder GhostFrame en enkel HTML-fil som framstår som ofarlig. All skadlig aktivitet sker inom en iframe – det lilla fönstret på en webbsida som kan visa innehåll från en annan källa. Det får nätfiskesidan att framstå som autentisk samtidigt som dess verkliga ursprung och syfte döljs.

– Upptäckten av GhostFrame visar hur snabbt och smart moderna nätfiskekit utvecklas. Det här är första gången vi ser en plattform som nästan helt bygger på iframes, och angriparna utnyttjar tekniken fullt ut för att öka flexibiliteten och undvika upptäckt, säger Saravanan Mohankumar på Barracudas team för hotanalys.

GhostFrame utmärker sig bland annat genom:

En HTML-sida utan tydliga tecken på nätfiske, där dynamisk kod genererar nya subdomäner för varje attack.
Inbäddade hänvisningar som leder användaren vidare till en underliggande sida via en iframe. Det är denna sida som innehåller själva nätfiske-komponenterna.
Designen med iframes gör det lätt för angriparna att byta ut innehåll, testa nya metoder eller rikta in sig på olika regioner utan att ändra den yttre sidan.
Ett aktivt försvar mot inspektion av koden, till exempel genom att blockera högerklick, F12-tangenten och vanliga kortkommandon som normalt används för att visa källkod eller öppna utvecklingsverktyg.

Nätfiskemejlen som används tillsammans med GhostFrame varierar men bygger på klassiska teman som falska affärsförslag och påhittade HR-uppdateringar. Syftet är som alltid att få mottagaren att klicka på skadliga länkar eller ladda ned skadliga filer.

– För att skydda sig behöver organisationer gå bortom statiska skydd och arbeta i flera lager: utbilda användare, hålla webbläsare uppdaterade, använda verktyg som upptäcker misstänkta iframes samtidigt som man arbetar med kontinuerlig övervakning och delad hotinformation, avslutar Saravanan Mohankumar.

Källa: Barracuda