Nuovo attacco di phishing espone credenziali di accesso tramite Google Search
Con ogni giorno, mese e anno che passa, è chiaro che gli attacchi informatici non svaniranno. Qualsiasi azienda, persona o settore può essere attaccato in qualsiasi momento. Il più recente è una truffa di phishing che ha colpito industrie importanti, come quella delle costruzioni, ed ha esposto credenziali di accesso tramite la ricerca su Google.
Truffa di phishing esposta tramite Google
Check Point Research ha avvisato il mondo tramite un post sul blog che le credenziali di accesso rubate da importanti settori sono state rilasciate su domini WordPress compromessi. È poi stata scoperta nel forum più pubblico possibile: la ricerca su Google.
Tutto è iniziato con email che includevano nomi o titoli di dipendenti nell’oggetto delle email fraudolente. I dipendenti provenivano da settori che includono costruzioni, IT, assistenza sanitaria, immobili e manifatturiero. Queste email imitavano le notifiche Xerox/Xeros provenienti da un server Linux e ospitate su Microsoft Azure. È stata inviata anche spam tramite account email che erano stati compromessi in precedenza, conferendo legittimità ai messaggi.
File HTML contenenti codice JavaScript incorporato erano allegati alle email. Questi avevano un solo obiettivo: controlli di background segreti delle password. Quando venivano rilevate le credenziali di accesso, venivano raccolte, con gli utenti reindirizzati a pagine di accesso.
“Anche se questa catena di infezione può sembrare semplice, è riuscita a eludere il filtro di Microsoft Office 365 Advanced Threat Protection (ATP) e ha rubato oltre mille credenziali di dipendenti aziendali,” secondo Check Point.
I siti web dirottati inclusi in questo attacco informatico erano costruiti sulla piattaforma CMS WordPress. Check Point ha spiegato che questi domini venivano utilizzati come “server zona di deposito” per elaborare le credenziali di accesso rubate.
Dopo che le credenziali di accesso erano state inviate ai server zona di deposito, venivano salvate in file che venivano poi indicizzati da Google, rendendoli pubblici. Erano disponibili a chiunque tramite una ricerca su Google. Ma i server sono stati utilizzati solo per circa due mesi, collegati a domini .XYZ.
“Di solito, gli attaccanti preferiscono utilizzare server compromessi invece della propria infrastruttura a causa delle buone reputazioni dei siti web esistenti,” ha spiegato Check Point. “Più è riconosciuta una reputazione, maggiori sono le possibilità che l’email non venga bloccata dai fornitori di sicurezza.”
Un avviso per il futuro
Le prove scoperte mostrano che questa particolare truffa di phishing potrebbe essere in circolazione da un po’ di tempo. Un’email di agosto scorso è stata paragonata con la truffa recentemente scoperta, e avevano la stessa codifica JavaScript.
Tutto questo dimostra che non possiamo abbassare la guardia. Le principali industrie e qualsiasi individuo o azienda possono essere colpiti, e può coinvolgere giganti tecnologici come Google e WordPress. Nulla è mai sicuro quando si tratta di Internet. Sii sempre consapevole e prendi cura delle tue informazioni.
