Търсене
Close this search box.

Фишерите се възползват от услугите за електронна поща на Salesforce

Наблюдавана е усъвършенствана кампания за фишинг във Facebook, при която е използван недостатък от нулев ден в имейл услугите на Salesforce, позволяващ на участниците в заплахата да създават целеви фишинг съобщения, използвайки домейна и инфраструктурата на компанията.

„Тези фишинг кампании ловко избягват конвенционалните методи за откриване, като свързват уязвимостта на Salesforce и наследени странности в платформата за уеб игри на Facebook“, казват изследователите от Guardio Labs Олег Зайцев и Нати Тал в доклад, споделен с The Hacker News.

Имейл съобщенията се маскират като идващи от Meta, като същевременно се изпращат от имейл адрес с домейн „@salesforce.com“. Те се стремят да подмамят получателите да кликнат върху връзка, като твърдят, че профилите им във Facebook са подложени на „цялостно разследване“ поради „подозрения за участие в имитация“.

Целта е да се насочат потребителите към измамна целева страница, която има за цел да заснеме идентификационните данни на профила на жертвата и кодовете за двуфакторно удостоверяване (2FA). Това, което прави атаката забележителна, е, че комплектът за фишинг е хостван като игра в рамките на платформата за приложения на Facebook, използвайки домейна apps.facebook[.]com.

„Така че  е ясно защо видяхме, че този имейл се промъква през традиционните механизми за борба със спама и фишинга. Той включва легитимни връзки (към facebook.com) и е изпратен от легитимен имейл адрес на @salesforce.com, един от водещите световни доставчици на CRM“, обясняват изследователите.

Струва си да се отбележи, че Meta пенсионира функцията Web Games през юли 2020 г., въпреки че е възможно да се запази поддръжката на наследени игри, които са били разработени преди нейното изчерпване.

Въпреки че изпращането на имейли с помощта на salesforce.com е свързано със стъпка на валидиране, според Guardio Labs схемата ловко заобикаля тези защитни мерки чрез конфигуриране на имейл адрес за входящо маршрутизиране Email-to-Case, който използва домейна salesforce.com и го настройва като имейл адрес за цялата организация.

„Това задейства потока за проверка, който изпраща имейл до този адрес за маршрутизация, завършвайки като нова задача в нашата система“, казват изследователите, като добавят, че това води до сценарий, при който имейл адресът salesforce.com може да бъде проверен просто чрез щракване върху връзката, придружаваща искането за добавяне на контролирания от извършителя адрес.

„Оттук просто продължавате и създавате всякакъв вид фишинг схема, дори да се насочвате директно към клиентите на Salesforce с този вид имейли. И горното ще се окаже в пощенската кутия на жертвата, заобикаляйки механизмите за борба със спама и фишинга, и дори ще бъде отбелязано като Важно от Google.“

След отговорното оповестяване на 28 юни 2023 г. Salesforce адресира нулевия ден от 28 юли 2023 г. с нови проверки, които предотвратяват използването на имейл адреси от домейна @salesforce.com.

Разработката идва в момент, когато Cofense предупреди за засилена фишинг дейност, при която се използват URL адреси на Google Accelerated Mobile Pages (AMP), за да се заобиколят проверките за сигурност и да се извърши кражба на удостоверения.

„Разпространението на фишинг атаките и измамите остава високо, като лошите непрекъснато тестват границите на инфраструктурата за разпространение на имейли и съществуващите мерки за сигурност“, казват изследователите.

„Обезпокоителен аспект на тази непрекъсната битка е използването на привидно легитимни услуги, като CRM, маркетингови платформи и облачни работни пространства, за извършване на злонамерени дейности.“

 

 

Източник: The Hacker News

Подобни публикации

30 май 2024

Измамата "Безплатно пиано"

Мащабна фишинг кампания използва необичайна примамка, за да спечели...
30 май 2024

OmniVision призна за атака с рансъмуер

Гигантът в областта на производството на полупроводници OmniVision ...
29 май 2024

Пуснат е експлойт за FortiSIEM с максимална тежест

Изследователи в областта на сигурността публикуваха доказателство з...
29 май 2024

Операторът на NYSE Intercontinental Exchange по...

Миналата сряда Комисията по ценните книжа и фондовите борси на САЩ ...
29 май 2024

Рутерът за игри TP-Link Archer C5400X е уязвим

Рутерът за игри TP-Link Archer C5400X е уязвим към пропуски в сигур...
29 май 2024

Christie's потвърждава пробив от RansomHub

Christie’s потвърди, че е претърпяла инцидент със сигурността...
28 май 2024

Потребителите на блокери на реклами имат пробле...

Много потребители съобщават, че видеоклиповете в YouTube автоматичн...
28 май 2024

VMware е била използвана в неотдавнашната хакер...

MITRE сподели информация за това как свързаните с Китай хакери са и...
Бъдете социални
Още по темата
26/05/2024

Хакери използват троянски ...

Хакери използват код от Python клонинг...
19/05/2024

Grandoreiro се завръща по -...

Банковият троянец за Android „Grandoreiro“ се...
17/05/2024

Измамите с фалшиви фактури ...

Измамите с фалшиви фактури не са...
Последно добавени
30/05/2024

Измамата "Безплатно пиано"

Мащабна фишинг кампания използва необичайна примамка,...
30/05/2024

OmniVision призна за атака ...

Гигантът в областта на производството на...
29/05/2024

Пуснат е експлойт за FortiS...

Изследователи в областта на сигурността публикуваха...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!