Наблюдавана е усъвършенствана кампания за фишинг във Facebook, при която е използван недостатък от нулев ден в имейл услугите на Salesforce, позволяващ на участниците в заплахата да създават целеви фишинг съобщения, използвайки домейна и инфраструктурата на компанията.
„Тези фишинг кампании ловко избягват конвенционалните методи за откриване, като свързват уязвимостта на Salesforce и наследени странности в платформата за уеб игри на Facebook“, казват изследователите от Guardio Labs Олег Зайцев и Нати Тал в доклад, споделен с The Hacker News.
Имейл съобщенията се маскират като идващи от Meta, като същевременно се изпращат от имейл адрес с домейн „@salesforce.com“. Те се стремят да подмамят получателите да кликнат върху връзка, като твърдят, че профилите им във Facebook са подложени на „цялостно разследване“ поради „подозрения за участие в имитация“.
Целта е да се насочат потребителите към измамна целева страница, която има за цел да заснеме идентификационните данни на профила на жертвата и кодовете за двуфакторно удостоверяване (2FA). Това, което прави атаката забележителна, е, че комплектът за фишинг е хостван като игра в рамките на платформата за приложения на Facebook, използвайки домейна apps.facebook[.]com.
„Така че е ясно защо видяхме, че този имейл се промъква през традиционните механизми за борба със спама и фишинга. Той включва легитимни връзки (към facebook.com) и е изпратен от легитимен имейл адрес на @salesforce.com, един от водещите световни доставчици на CRM“, обясняват изследователите.
Струва си да се отбележи, че Meta пенсионира функцията Web Games през юли 2020 г., въпреки че е възможно да се запази поддръжката на наследени игри, които са били разработени преди нейното изчерпване.
Въпреки че изпращането на имейли с помощта на salesforce.com е свързано със стъпка на валидиране, според Guardio Labs схемата ловко заобикаля тези защитни мерки чрез конфигуриране на имейл адрес за входящо маршрутизиране Email-to-Case, който използва домейна salesforce.com и го настройва като имейл адрес за цялата организация.
„Това задейства потока за проверка, който изпраща имейл до този адрес за маршрутизация, завършвайки като нова задача в нашата система“, казват изследователите, като добавят, че това води до сценарий, при който имейл адресът salesforce.com може да бъде проверен просто чрез щракване върху връзката, придружаваща искането за добавяне на контролирания от извършителя адрес.
„Оттук просто продължавате и създавате всякакъв вид фишинг схема, дори да се насочвате директно към клиентите на Salesforce с този вид имейли. И горното ще се окаже в пощенската кутия на жертвата, заобикаляйки механизмите за борба със спама и фишинга, и дори ще бъде отбелязано като Важно от Google.“
След отговорното оповестяване на 28 юни 2023 г. Salesforce адресира нулевия ден от 28 юли 2023 г. с нови проверки, които предотвратяват използването на имейл адреси от домейна @salesforce.com.
Разработката идва в момент, когато Cofense предупреди за засилена фишинг дейност, при която се използват URL адреси на Google Accelerated Mobile Pages (AMP), за да се заобиколят проверките за сигурност и да се извърши кражба на удостоверения.
„Разпространението на фишинг атаките и измамите остава високо, като лошите непрекъснато тестват границите на инфраструктурата за разпространение на имейли и съществуващите мерки за сигурност“, казват изследователите.
„Обезпокоителен аспект на тази непрекъсната битка е използването на привидно легитимни услуги, като CRM, маркетингови платформи и облачни работни пространства, за извършване на злонамерени дейности.“
