Фишерите се възползват от услугите за електронна поща на Salesforce

Наблюдавана е усъвършенствана кампания за фишинг във Facebook, при която е използван недостатък от нулев ден в имейл услугите на Salesforce, позволяващ на участниците в заплахата да създават целеви фишинг съобщения, използвайки домейна и инфраструктурата на компанията.

„Тези фишинг кампании ловко избягват конвенционалните методи за откриване, като свързват уязвимостта на Salesforce и наследени странности в платформата за уеб игри на Facebook“, казват изследователите от Guardio Labs Олег Зайцев и Нати Тал в доклад, споделен с The Hacker News.

Имейл съобщенията се маскират като идващи от Meta, като същевременно се изпращат от имейл адрес с домейн „@salesforce.com“. Те се стремят да подмамят получателите да кликнат върху връзка, като твърдят, че профилите им във Facebook са подложени на „цялостно разследване“ поради „подозрения за участие в имитация“.

Целта е да се насочат потребителите към измамна целева страница, която има за цел да заснеме идентификационните данни на профила на жертвата и кодовете за двуфакторно удостоверяване (2FA). Това, което прави атаката забележителна, е, че комплектът за фишинг е хостван като игра в рамките на платформата за приложения на Facebook, използвайки домейна apps.facebook[.]com.

„Така че  е ясно защо видяхме, че този имейл се промъква през традиционните механизми за борба със спама и фишинга. Той включва легитимни връзки (към facebook.com) и е изпратен от легитимен имейл адрес на @salesforce.com, един от водещите световни доставчици на CRM“, обясняват изследователите.

Струва си да се отбележи, че Meta пенсионира функцията Web Games през юли 2020 г., въпреки че е възможно да се запази поддръжката на наследени игри, които са били разработени преди нейното изчерпване.

Въпреки че изпращането на имейли с помощта на salesforce.com е свързано със стъпка на валидиране, според Guardio Labs схемата ловко заобикаля тези защитни мерки чрез конфигуриране на имейл адрес за входящо маршрутизиране Email-to-Case, който използва домейна salesforce.com и го настройва като имейл адрес за цялата организация.

„Това задейства потока за проверка, който изпраща имейл до този адрес за маршрутизация, завършвайки като нова задача в нашата система“, казват изследователите, като добавят, че това води до сценарий, при който имейл адресът salesforce.com може да бъде проверен просто чрез щракване върху връзката, придружаваща искането за добавяне на контролирания от извършителя адрес.

„Оттук просто продължавате и създавате всякакъв вид фишинг схема, дори да се насочвате директно към клиентите на Salesforce с този вид имейли. И горното ще се окаже в пощенската кутия на жертвата, заобикаляйки механизмите за борба със спама и фишинга, и дори ще бъде отбелязано като Важно от Google.“

След отговорното оповестяване на 28 юни 2023 г. Salesforce адресира нулевия ден от 28 юли 2023 г. с нови проверки, които предотвратяват използването на имейл адреси от домейна @salesforce.com.

Разработката идва в момент, когато Cofense предупреди за засилена фишинг дейност, при която се използват URL адреси на Google Accelerated Mobile Pages (AMP), за да се заобиколят проверките за сигурност и да се извърши кражба на удостоверения.

„Разпространението на фишинг атаките и измамите остава високо, като лошите непрекъснато тестват границите на инфраструктурата за разпространение на имейли и съществуващите мерки за сигурност“, казват изследователите.

„Обезпокоителен аспект на тази непрекъсната битка е използването на привидно легитимни услуги, като CRM, маркетингови платформи и облачни работни пространства, за извършване на злонамерени дейности.“

 

 

Източник: The Hacker News

Подобни публикации

4 октомври 2023

Киберсигурността: ключов фактор за настоящето и...

Месецът за повишаване на осведомеността за киберсигурността се отбе...
4 октомври 2023

Моделите на PyTorch са уязвими за изпълнение на...

Изследователи в областта на киберсигурността са разкрили множество ...
4 октомври 2023

Qualcomm издава кръпка за 3 нови нулеви дни

Производителят на чипове Qualcomm пусна актуализации за сигурност, ...
4 октомври 2023

Над 3 дузини зловредни пакети npm са насочени к...

Според констатации на Fortinet FortiGuard Labs в хранилището за пак...
4 октомври 2023

Милиони мейл сървъри на Exim са изложени на zer...

Критична уязвимост от типа „нулев ден“ във всички верси...
3 октомври 2023

Cyber Security Talks Bulgaria – ОКТОМВРИ 2023

На 10.10.2023 г. във Висшето военноморско училище в гр. Варна ще се...
Бъдете социални
Още по темата
03/10/2023

ФБР предупреждава за ръст н...

ФБР публикува съобщение за обществена услуга,...
28/09/2023

Фишинг атаки на тема "Черве...

Наблюдава се, че нова  заплаха, известна...
27/09/2023

Нов ZeroFont фишинг подвежд...

Хакерите използват нов трик за използване...
Последно добавени
04/10/2023

Киберсигурността: ключов фа...

Месецът за повишаване на осведомеността за...
04/10/2023

Моделите на PyTorch са уязв...

Изследователи в областта на киберсигурността са...
04/10/2023

Qualcomm издава кръпка за 3...

Производителят на чипове Qualcomm пусна актуализации...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!