Киберпрестъпници използват уязвимост в Google Sites, за да разпространяват усъвършенствани фишинг имейли, които успяват да заобиколят стандартните механизми за автентикация на електронна поща.

Новата кампания се възползва от доверието към официалния домейн на Google и неговите механизми за сигурност. Жертвите получават съобщения, които изглеждат като изпратени от легитимен „no-reply“ адрес на Google. В имейлите се съдържат връзки към страници, създадени чрез Google Sites — услуга, която позволява на всеки потребител да създава персонализирани уебсайтове на поддомейна sites.google.com.

Как работи атаката?

В два засечени случая — докладвани от разработчика от Ethereum Foundation Ник Джонсън и от изпълнителния директор на EasyDMARC Герасим Ховханнисян — става ясно, че нападателите използват сайтове, хоствани на доверен домейн, за да придадат автентичност на измамните страници. Тъй като страниците се намират под собственост на Google, те автоматично се ползват от SSL сертификати и авторитета на марката, което помага да се избегнат подозрения от страна на потребителите и филтрите за сигурност.

Използване на DKIM за заобикаляне на филтри

Измамниците създават акаунт, регистрират уебсайт, след което препращат автентичен имейл от Google, без да променят съдържанието и заглавките, защитени чрез DKIM подписа (DomainKeys Identified Mail). Това им позволява да избегнат проверки за подправени съобщения, тъй като DKIM потвърждава само съдържанието и заглавките, но не и „плика“ на съобщението (envelope).

„Поради начина, по който работи DKIM, съобщението преминава проверката и изглежда напълно легитимно в пощенската кутия – дори се показва в същия нишков изглед като реалните известия за сигурност от Google“, обяснява Ник Джонсън.

Допълнително, тъй като акаунтът, използван в атаката, е бил със символично име „me@…“, Gmail визуализира съобщението като изпратено до „мен“, както обикновено показва легитимните известия до реалния потребител.

Реакция от Google

Според Джонсън, Google първоначално е определила злоупотребата с OAuth като „работеща по предназначение“, но след допълнителни сигнали компанията е поела ангажимент да се справи с проблема.