Новая фишинговая атака раскрыла учетные данные для входа через поиск Google
С каждым днем, месяцем и годом становится ясно, что кибератаки никуда не деться. Любой бизнес, человек или отрасль могут быть атакованы в любое время. Последней атакой является фишинговая схема, которая ударила по крупным отраслям, таким как строительство, и раскрыла учетные данные для входа через поиск Google.
Фишинговая схема, раскрытая через Google
Компания Check Point Research сообщила миру через блог, что украденные учетные данные из крупных отраслей были опубликованы на скомпрометированных доменах WordPress. Это было обнаружено в самом публичном форуме: поиске Google.
Все началось с электронных писем, в которых в теме писем находились имена или должности сотрудников. Эти сотрудники работали в отраслях, включая строительство, информационные технологии, здравоохранение, недвижимость и производство. Эти письма имитировали уведомления Xerox/Xeros, которые исходили с Linux-сервера и размещались на Microsoft Azure. Спам также рассылался через электронные почты, которые ранее были скомпрометированы, придавая сообщениям легитимность.
HTML-файлы с встроенным JavaScript-кодом были прикреплены к электронным письмам. У них была лишь одна цель: скрытые проверки паролей. Когда было обнаружено введение учетных данных для входа, они были собраны, и пользователи были перенаправлены на страницы входа.
«Хотя эта цепочка заражения может показаться простой, она успешно обошла фильтрацию Microsoft Office 365 Advanced Threat Protection (ATP) и украла более тысячи учетных данных корпоративных сотрудников», - сообщает Check Point.
Сайты, которые были захвачены в этой кибератаке, были созданы на CMS WordPress. Check Point пояснила, что эти домены использовались как «серверы зоны сброса» для обработки украденных учетных данных.
После того как учетные данные для входа были отправлены на серверы зоны сброса, они сохранялись в файлах, которые затем индексировались Google, становясь публичными. Они были доступны любому через поиск в Google. Но серверы использовались всего около двух месяцев и были связаны с доменами .XYZ.
«Атакующие обычно предпочитают использовать скомпрометированные серверы вместо собственной инфраструктуры из-за известной репутации существующих сайтов», - объяснила Check Point. «Чем более общеизвестна репутация, тем выше вероятность того, что электронное письмо не будет заблокировано поставщиками безопасности».
Предупреждение на будущее
Доказательства, которые были обнаружены, показывают, что эта конкретная фишинговая схема могла существовать какое-то время. Электронное письмо, отправленное в августе прошлого года, было сопоставлено с недавно обнаруженной схемой, и у них была одна и та же кодировка JavaScript.
Все это показывает, что мы не можем ослаблять бдительность. Крупные отрасли и любой человек или бизнес могут быть затронуты, и в это могут быть вовлечены такие технологические гиганты, как Google и WordPress. Ничто никогда не будет в безопасности, когда речь идет об Интернете. Всегда будьте внимательны и заботьтесь о своей информации.
