Oto jak podstępny atak phishingowy w Gmailu oszukał ofiary za pomocą fałszywej aplikacji Dokumentów Google

Dokumenty Google zostały wciągnięte we wtorkowy atak phishingowy, który miał na celu nakłonienie użytkowników do rezygnacji z dostępu do swoich kont Gmail.

E-maile phishingowe, które krążyły przez około trzy godziny, zanim Google je zatrzymał, zaprosiły odbiorcę do otwarcia czegoś, co wyglądało na Dokument Google. Teaser był niebieskim pudełkiem z napisem "Otwórz w Dokumentach".

W rzeczywistości link prowadził do fałszywej aplikacji, która poprosiła użytkowników o pozwolenie na dostęp do ich konta Gmail.

[Czytaj dalej: Jak usunąć złośliwe oprogramowanie z twojego komputera z Windows]

Reddit

Przykład e-maili phishingowych, które krążyły we wtorek.

Użytkownicy mogli łatwo zostać oszukani, ponieważ ta sztuczna aplikacja została nazwana "Dokumentami Google". Poprosiła również o dostęp do Gmaila za pośrednictwem rzeczywistej usługi logowania Google.

Hakerzy byli w stanie przeprowadzić atak przez nadużywanie protokołu OAuth, sposobu na konta internetowe w Google, na Twitterze, Facebooku i innych usługach w celu łączenia się z aplikacjami innych firm.

Protokół OAuth nie przesyła żadnych informacji o hasłach, ale zamiast tego używa specjalnych tokenów dostępu, które mogą otwierać dostęp do konta.

Jednak OAuth może być niebezpieczny w niepowołanych rękach. Wydaje się, że hakerzy za wtorkowy atak zbudowali rzeczywistą aplikację innej firmy, która wykorzystała procesy Google w celu uzyskania dostępu do konta.

Reddit

Ta fikcyjna aplikacja spróbuje poprosić o zgodę na konto.

"Atak jest dość sprytny i wykorzystuje możliwość połączenia twojego konta Google z aplikacją innej firmy" - powiedział Mark Nunnikhoven, wiceprezes ds. Badań w chmurze w firmie ochroniarskiej Trend Micro.

Wykorzystywanie OAuth dla Dostęp do konta jest szczególnie podstępny, ponieważ może ominąć potrzebę kradzieży danych logowania użytkownika, a nawet weryfikacji Google 2-krokowej.

W zeszłym miesiącu, Trend Micro powiedział, że rosyjska grupa hakerska znana jako Fancy Bear używa podobnej metody ataku, która była nadużywana protokół OAuth dla ofiar phish.

Jednak eksperci od bezpieczeństwa twierdzą, że wtorkowy atak phishingowy prawdopodobnie nie należał do Fancy Bear, mrocznej grupy, która wielu ekspertów podejrzewa, że ​​pracuje dla rosyjskiego rządu.

"Nie wierzę, że są za tym … ponieważ jest to zbyt rozpowszechnione ", powiedział w e-mailu Jaime Blasco, główny naukowiec w firmie ochroniarskiej AlienVault.

We wtorek wielu użytkowników Twittera, w tym dziennikarze, zamieściło zrzuty ekranowe e-maili phishingowych, skłaniając do spekulacji, że hakerzy zbierają listy kontaktów ofiary, by dotrzeć do większej liczby użytkowników.

Atak został również wysłany za pośrednictwem adresu e-mail na "[email protected]." Mailinator, dostawca darmowej usługi e-mail, odmówił jakiegokolwiek zaangażowania.

Na szczęście Google szybko przeprowadziło ataki phishingowe po tym, jak użytkownik Reddit o nich pisał.

"Usunęliśmy fałszywe strony, przekazaliśmy aktualizacje za pośrednictwem Bezpiecznego przeglądania, a nasz zespół ds. Nadużyć pracuje, aby temu zapobiec rodzaj ponownego spoofingu "- oznajmił Google w oświadczeniu.

Eksperci ds. bezpieczeństwa i Google zalecają użytkowników, których dotyczy problem, sprawdzają, jakie aplikacje innych firm mają pozwolenie na dostęp do ich konta i unieważniają podejrzany dostęp. Użytkownicy mogą to zrobić, odwiedzając ten adres lub wykonując kontrolę bezpieczeństwa Google.

Dobrą praktyką jest ostrożność w przypadku podejrzanych wiadomości e-mail. Wiele prób włamania, w tym infekcji złośliwym oprogramowaniem, odbywa się za pośrednictwem linków lub załączników wysyłanych pocztą e-mail.

Firmy zabezpieczające ostrzegają, że inni hakerzy mogą przeprowadzać podobne ataki typu phishing wykorzystujące OAuth, nie tylko przez Google, ale także przez Facebooka i LinkedIn.

"Podobnie jak wszystkie inne kreatywne, nowatorskie podejścia, prawdopodobnie zostanie prawie natychmiast skopiowane," mówi grupa bezpieczeństwa Cisco Talos na blogu. Talos zidentyfikował ponad 275 000 aplikacji korzystających z protokołu OAuth i łączących się z chmurą.

Ale nawet jeśli wtorkowy atak mógł być nowatorski, niebezpieczeństwa związane z OAuth nie są niczym nowym. Eksperci ds. Bezpieczeństwa ostrzegali w przeszłości, że użytkownicy mogą zostać wyłudzeni poprzez manipulację OAuth, aby udzielić pozwolenia niewłaściwej stronie.

W odpowiedzi na takie ataki, Google powiedział w zeszłym miesiącu, że przegląda wszelkie nadużycia OAuth i usuwa tysiące aplikacji, które naruszają zasady dotyczące danych użytkowników, w tym te, które podszywają się pod produkty firmy.

Wtorkowy system phishingu prawdopodobnie zmusi Google'a do zaostrzenia stanowiska w aplikacjach używających protokołu OAuth, powiedział Robert Graham, dyrektor generalny firmy badawczej Errata Security.

Jednak Internetowy gigant musi znaleźć równowagę między zapewnieniem bezpieczeństwa a rozwojem kwitnącego ekosystemu aplikacji.

"Im więcej weryfikacji robisz, tym więcej powstrzymujesz innowacji" - powiedział Graham. "To kompromis."