ztevenreal
- KnowBe4 advierte sobre una nueva campaña de phishing que aprovecha la automatización de flujo de trabajo de Google AppSheets
- Los correos electrónicos están falsificando Facebook y cosechando credenciales de inicio de sesión
- Los atacantes asimismo pueden obtener tokens de sesión
Los ciberdelincuentes están abusando de un servicio probado de Google para evitar mecanismos de protección por correo electrónico y entregar correos electrónicos de phishing directamente a las bandejas de entrada de las personas.
Los investigadores de ciberseguridad KnowBe4, que vieron por primera vez los ataques, advirtieron que los Crooks están utilizando Google AppSheet, una plataforma de explicación de aplicaciones sin código para aplicaciones móviles y web, y a través de su automatización de flujo de trabajo pudo cursar correos electrónicos utilizando la dirección “noreply@appsheet.com”.
Los correos electrónicos de phishing están imitando Facebook y están diseñados para engañar a las personas para que regalen sus credenciales de inicio de sesión y códigos 2FA, para la plataforma de redes sociales.
Códigos de 2fa y tokens de sesión
Los correos electrónicos, que se enviaron al combustión y a una escalera suficiente prócer, provenían de una fuente legítima, pasando por stop con éxito a Microsoft y seguras de puerta de enlace de correo electrónico (SEG) que dependen de las verificaciones de reputación y autenticación de dominio (SPF, DKIM, DMARC).
Adicionalmente, donado que las hojas de aplicaciones pueden ocasionar ID únicas, cada correo electrónico fue tenuemente diferente, lo que asimismo ayudó a evitar los sistemas de detección tradicionales.
Los correos electrónicos mismos falsificaron a Facebook. Los Crooks intentaron engañar a las víctimas para que pensara que infringieron la propiedad intelectual de alguno, y que sus cuentas debían eliminarse adentro de las 24 horas.
A menos que, por supuesto, envíen una apelación a través de un yema de “cursar una apelación” convenientemente enclavado en el correo electrónico.
Al hacer clic en el yema, lleva a la víctima a una página de destino que se hace suceder por Facebook, donde pueden proporcionar sus credenciales de inicio de sesión y códigos 2FA, que luego se transmiten a los atacantes.
La página está alojada en VERCEL, que, según KnowBe4, es una “plataforma de buena reputación conocida por encajar aplicaciones web modernas”. Esto fortalece aún más la credibilidad de toda la campaña.
El ataque tiene algunas contingencias adicionales. El primer intento de iniciar sesión devuelve un resultado de “contraseña incorrecta”, no porque la víctima escribiera la credencial incorrecta, sino para confirmar el remesa.
Adicionalmente, los códigos 2FA que se proporcionan se envían inmediatamente a Facebook y, a cambio, los delincuentes toman una ficha de sesión que les otorga persistencia incluso luego de un cambio de contraseña.
