Наблюдавана е усъвършенствана кампания за фишинг във Facebook, при която е използван недостатък от нулев ден в имейл услугите на Salesforce, позволяващ на участниците в заплахата да създават целеви фишинг съобщения, използвайки домейна и инфраструктурата на компанията.

„Тези фишинг кампании ловко избягват конвенционалните методи за откриване, като свързват уязвимостта на Salesforce и наследени странности в платформата за уеб игри на Facebook“, казват изследователите от Guardio Labs Олег Зайцев и Нати Тал в доклад, споделен с The Hacker News.

Имейл съобщенията се маскират като идващи от Meta, като същевременно се изпращат от имейл адрес с домейн „@salesforce.com“. Те се стремят да подмамят получателите да кликнат върху връзка, като твърдят, че профилите им във Facebook са подложени на „цялостно разследване“ поради „подозрения за участие в имитация“.

Целта е да се насочат потребителите към измамна целева страница, която има за цел да заснеме идентификационните данни на профила на жертвата и кодовете за двуфакторно удостоверяване (2FA). Това, което прави атаката забележителна, е, че комплектът за фишинг е хостван като игра в рамките на платформата за приложения на Facebook, използвайки домейна apps.facebook[.]com.

„Така че  е ясно защо видяхме, че този имейл се промъква през традиционните механизми за борба със спама и фишинга. Той включва легитимни връзки (към facebook.com) и е изпратен от легитимен имейл адрес на @salesforce.com, един от водещите световни доставчици на CRM“, обясняват изследователите.

Струва си да се отбележи, че Meta пенсионира функцията Web Games през юли 2020 г., въпреки че е възможно да се запази поддръжката на наследени игри, които са били разработени преди нейното изчерпване.

Въпреки че изпращането на имейли с помощта на salesforce.com е свързано със стъпка на валидиране, според Guardio Labs схемата ловко заобикаля тези защитни мерки чрез конфигуриране на имейл адрес за входящо маршрутизиране Email-to-Case, който използва домейна salesforce.com и го настройва като имейл адрес за цялата организация.

„Това задейства потока за проверка, който изпраща имейл до този адрес за маршрутизация, завършвайки като нова задача в нашата система“, казват изследователите, като добавят, че това води до сценарий, при който имейл адресът salesforce.com може да бъде проверен просто чрез щракване върху връзката, придружаваща искането за добавяне на контролирания от извършителя адрес.

„Оттук просто продължавате и създавате всякакъв вид фишинг схема, дори да се насочвате директно към клиентите на Salesforce с този вид имейли. И горното ще се окаже в пощенската кутия на жертвата, заобикаляйки механизмите за борба със спама и фишинга, и дори ще бъде отбелязано като Важно от Google.“

След отговорното оповестяване на 28 юни 2023 г. Salesforce адресира нулевия ден от 28 юли 2023 г. с нови проверки, които предотвратяват използването на имейл адреси от домейна @salesforce.com.

Разработката идва в момент, когато Cofense предупреди за засилена фишинг дейност, при която се използват URL адреси на Google Accelerated Mobile Pages (AMP), за да се заобиколят проверките за сигурност и да се извърши кражба на удостоверения.

„Разпространението на фишинг атаките и измамите остава високо, като лошите непрекъснато тестват границите на инфраструктурата за разпространение на имейли и съществуващите мерки за сигурност“, казват изследователите.

„Обезпокоителен аспект на тази непрекъсната битка е използването на привидно легитимни услуги, като CRM, маркетингови платформи и облачни работни пространства, за извършване на злонамерени дейности.“

 

 

Източник: The Hacker News

Подобни публикации

Microsoft заменя остарелия JScript със сигурния...

Microsoft обяви, че в Windows 11 версия 24H2 и следващите версии за...
11 юли 2025

Руски баскетболист арестуван за връзки с рансъм...

Руският професионален баскетболист Даниил Касаткин бе арестуван във...
11 юли 2025

Критични уязвимости в Bluetooth стека BlueSDK з...

Четири сериозни уязвимости, обединени под наименованието PerfektBlu...

Microsoft спестява над 500 милиона долара чрез ИИ

Microsoft е спестила над 500 милиона долара през изминалата година ...
10 юли 2025

Четирима арестувани във връзка с кибератаките с...

Британската Национална агенция за борба с престъпността (NCA) обяви...
10 юли 2025

Qantas потвърждава: Изтичане на данни засегна 5...

Австралийският авиопревозвач Qantas обяви, че данните на около 5.7 ...
10 юли 2025

Bitcoin Depot разкри пробив в сигурността с изт...

Операторът на биткойн банкомати Bitcoin Depot уведомява своите клие...
Бъдете социални
Още по темата
02/07/2025

ГДБОП разбива канал за пран...

ГДБОП разбива международна престъпна мрежа за...
02/07/2025

Онлайн измама със стотици ж...

Стотици българи са станали жертва на...
27/06/2025

Атаки чрез Microsoft 365 „D...

Нови фишинг атаки използват Microsoft 365...
Последно добавени
11/07/2025

Microsoft заменя остарелия ...

Microsoft обяви, че в Windows 11...
11/07/2025

Руски баскетболист арестува...

Руският професионален баскетболист Даниил Касаткин бе...
11/07/2025

Критични уязвимости в Bluet...

Четири сериозни уязвимости, обединени под наименованието...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!