Hackeri našli spôsob, ako ťa cez Google odkaz dostať až k podvodnej stránke. Takto prebieha nový útok
Podvodníci zneužívajú služby Googlu na phishing. Odkaz môže viesť cez Google Meet, Search či DoubleClick a až potom ťa presmerovať na falošnú stránku, ktorá kradne heslá alebo získa prístup k počítaču.
Pri podvodnom e-maile patrí kontrola odkazu medzi základné veci, ktoré ti môžu pomôcť odhaliť problém ešte pred kliknutím. Ak namiesto adresy banky, Googlu alebo inej známej spoločnosti vidíš zvláštnu doménu, mal by si spozornieť. Útočníci však našli spôsob, ako obísť aj toto pravidlo.
Bezpečnostní výskumníci odhalili rozsiahlu phishingovú kampaň, pri ktorej podvodníci zneužívajú legitímne služby Googlu. Odkaz v podvodnej správe tak môže skutočne smerovať na doménu patriacu Googlu. Až neskôr používateľa cez niekoľko presmerovaní dostane na stránku kontrolovanú útočníkom.
Na kampaň upozornili bezpečnostní výskumníci z KnowBe4 Threat Lab. Podľa ich analýzy útočníci zneužívajú Google Meet, Google Search či reklamnú infraštruktúru DoubleClick.
Útočníci schovajú škodlivú stránku za sériu presmerovaní cez Google
Klasický phishing často vedie rovno na falošnú prihlasovaciu stránku, ktorú môže bezpečnostný systém rozpoznať podľa škodlivej domény. V tejto kampani je cesta dlhšia.
V jednej zo zachytených verzií vedie odkaz najskôr cez Google Meet, potom cez Google Search a následne cez reklamný systém DoubleClick. Až potom používateľ opustí infraštruktúru Googlu a dostane sa na server útočníkov.
Neprehliadni
Objavili sa aj varianty využívajúce Google Custom Search, Google Image Search, Google Tag Manager či Google Analytics. Útočníci jednotlivé služby kombinujú.
Dark Reading upozorňuje, že séria takýchto presmerovaní môže pomôcť odkazu prejsť cez e-mailové filtre a bezpečnostné brány, ktoré pri kontrole opakovane narážajú na legitímnu infraštruktúru Googlu.
Google phishingovú stránku nehostuje a zistenia nenaznačujú napadnutie jeho interných systémov. Podvodníci zneužívajú legitímne funkcie na presmerovanie používateľa ďalej.
Z e-mailu zistia tvoju firmu a podľa nej upravia podvodný web
Kľúčom je e-mailová adresa ukrytá priamo v odkaze. Útočníci ju môžu zakódovať pomocou Base64 a vložiť do časti URL za znakom #.
Časť za znakom # prehliadač neposiela webovému serveru ako súčasť bežnej HTTP požiadavky. Finálna stránka si ju však vie prečítať pomocou JavaScriptu.
Z e-mailovej adresy si útočníci vytiahnu doménu firmy či organizácie a podľa nej stránku upravia.
KnowBe4 zachytilo prípady, keď systém načítal logo spoločnosti a vytvoril aj aktuálnu snímku jej skutočného webu. Obeť tak môže vidieť prihlasovaciu stránku, ktorá sa podobá priamo na web jej zamestnávateľa. Vo formulári môže byť už vyplnená aj jej e-mailová adresa.
Útočníci používajú Google Public DNS na kontrolu MX záznamov domény. Takto si preveria, či doména používa e-mailovú infraštruktúru, a môžu vyradiť časť falošných adries používaných automatizovanými skenermi či bezpečnostnými výskumníkmi.
MX záznam nepotvrdzuje existenciu konkrétnej e-mailovej schránky. Ukazuje iba to, že doména má nastavené servery na prijímanie e-mailov.
Práve táto kombinácia robí útok presvedčivejším. Používateľ vidí známe služby, bezpečnostný filter nemusí hneď naraziť na škodlivú doménu a finálna stránka môže byť pripravená priamo pre jeho firmu. Útočníci tak nespoliehajú na jeden trik, ale skladajú ich viac za sebou.
Ukradnuté heslo pošlú útočníkom cez Telegram bota
Keď človek vyplní falošný prihlasovací formulár, odoslané heslo putuje k útočníkom cez Telegram bota. Spolu s ním môžu dostať aj IP adresu, približnú polohu či informácie o prehliadači.
Stránka potom oznámi, že heslo je nesprávne, a vypýta si ho znova. Ak sa človek pri prvom pokuse uklepol, útočníci tak získajú ďalšiu verziu hesla. Analýza kódu ukázala, že prvé zadanie vyvolá chybové hlásenie zámerne bez ohľadu na to, či bolo heslo správne.
Po druhom pokuse môže používateľa presmerovať na skutočný web jeho firmy, takže si nemusí hneď všimnúť, že údaje odovzdal útočníkom.
Phishingová stránka sa vie meniť aj podľa jazyka prehliadača. KnowBe4 v jej kóde našlo podporu 16 jazykov.
Útočník môže získať prístup aj bez toho, aby poznal tvoje heslo
KnowBe4 zachytilo aj falošný portál napodobňujúci zdieľaný dokument v OneDrive, ktorý obeti zobrazil Microsoft device code.
Útočník spustí prihlasovací proces na svojej strane a obeti podstrčí kód, ktorý má potvrdiť. Na takéto útoky upozorňuje aj Microsoft.
Človek môže skončiť na skutočnej stránke Microsoftu. Potvrdením kódu však dokončí prihlásenie, ktoré spustil útočník.
Na podobný device code phishing sme upozorňovali aj v minulosti. Podvodník v tejto verzii nemusí tvoje heslo vôbec vidieť.
Cez ScreenConnect môžu útočníci ovládnuť tvoj počítač na diaľku
V ďalšej vetve útoku sa obeť dostane k údajnému overeniu identity, ktoré môže skončiť inštaláciou nástroja ScreenConnect.
ScreenConnect nie je malvér. Ide o legitímny program na vzdialenú správu a technickú podporu počítačov, preto nemusí pôsobiť podozrivo.
Ak cez neho útočník vytvorí vlastnú reláciu, môže získať vzdialený prístup k zariadeniu obete a pokračovať v útoku priamo v počítači.
V takom prípade nepomôže iba zmena hesla. Problém je už v samotnom zariadení.
Podobný princíp využívajú aj podvody so vzdialeným prístupom k počítaču, pri ktorých obeť sama nainštaluje legitímny program na jeho ovládanie.
O kampani 10. septembra informoval aj národný bezpečnostný tím ThaiCERT, ktorý upozornil na zneužívanie služieb Googlu pri krádeži prihlasovacích údajov aj získavaní kontroly nad zariadením.
Ani odkaz na doméne Googlu nemusí byť bezpečný
Pozrieť sa na doménu je stále dobrý zvyk. Pri takomto útoku však vidíš iba začiatok cesty.
Odkaz môže skutočne viesť na Google a až po niekoľkých presmerovaniach skončiť na úplne inom webe.
Pri nečakanom e-maile je preto bezpečnejšie otvoriť dokument, faktúru či účet cez oficiálnu stránku alebo aplikáciu, nie cez odkaz v správe.
Varovaním je aj požiadavka na inštaláciu programu na vzdialený prístup. Overenie dokumentu alebo účtu bežne nevyžaduje, aby si niekomu umožnil ovládať svoj počítač.
Ak si na podozrivej stránke zadal heslo, zmeň ho cez oficiálnu službu, odhlás ostatné aktívne relácie a vymeň ho aj na ďalších účtoch, kde používaš rovnaké.
Pri ScreenConnecte alebo inom programe na vzdialené ovládanie samotná zmena hesla nestačí. Neautorizovaný vzdialený prístup treba odstrániť a pri pracovnom zariadení kontaktovať správcu alebo bezpečnostný tím.
Dvojfaktorové overenie výrazne pomáha pri klasickej krádeži hesla. Ešte odolnejšie voči bežnému phishingu sú prihlasovacie kľúče, teda passkeys.
Pri podvodnom device code alebo vzdialenom prístupe však útočník heslo ani nepotrebuje.
Odkaz s Googlom či Microsoftom v adrese preto môže byť legitímny a napriek tomu ťa nakoniec dostať na škodlivú stránku. Dôležité je, kde skončíš a čo od teba stránka pýta.
