Fałszywa strona logowania Gmaila kradnie dane uwierzytelniające

Nowy atak phishingowy na Gmaila oszukuje użytkowników fałszywymi powiadomieniami o poczcie głosowej i kradnie ich dane do logowania za pomocą wysoce zaawansowanego systemu.

Kampania, po raz pierwszy zidentyfikowana przez Anurag, rozpoczyna się od e-maili podszywających się pod powiadomienia „Nowa wiadomość głosowa”. Wydaje się, że te wiadomości pochodzą od zaufanych usług poczty głosowej i zawierają przycisk „Odsłuchaj pocztę głosową”. Kliknięcie go przenosi ofiary do serii skompromitowanych stron internetowych.

Pierwszy etap jest szczególnie zdradliwy, odbywa się na legalnej platformie marketingowej Microsoftu Dynamics (assets-eur.mkt.dynamics.com). Wykorzystanie zaufanej infrastruktury nadaje atakowi wiarygodność i pomaga mu ominąć normalne filtry bezpieczeństwa poczty elektronicznej.

Następnie, użytkownicy są przekierowywani na stronę CAPTCHA na „horkyrown[.]com”, domenie zarejestrowanej w Pakistanie. CAPTCHA tworzy fałszywe poczucie bezpieczeństwa, będąc jednocześnie częścią złośliwej konfiguracji. Ostatni krok prezentuje doskonałą kopię strony logowania Gmaila, z pełnym brandingiem Google.

Gdy użytkownicy wprowadzają swoje dane, system przechwytuje nie tylko e-maile i hasła, ale również kody dwuskładnikowego uwierzytelniania, kody do odzyskiwania kopii zapasowych, a nawet odpowiedzi na pytania zabezpieczające. Dane są eksfiltrowane na serwery za granicą, zanim ofiary zdają sobie sprawę, że zostały skompromitowane.

Anurag zauważył, że „szkodliwy JavaScript napędzający fałszywą stronę logowania stosuje zaawansowane metody zaciemniania”. Kod używa szyfrowania AES, aby ukryć swoje przeznaczenie i zawiera narzędzia anty-debugujące, które przekierowują użytkowników do prawdziwej strony logowania Google, jeśli próbują go zbadać..

Eksperci ostrzegają, że ta kampania reprezentuje „znaczącą ewolucję w technikach phishingowych, łącząc inżynierię społeczną z nadużywaniem legalnej infrastruktury oraz zaawansowanymi metodami unikania wykrycia.”

Użytkownikom Gmaila zaleca się zachowanie ostrożności wobec nieoczekiwanych powiadomień o wiadomościach głosowych i zawsze weryfikację próśb o logowanie za pomocą oficjalnych kanałów Google. Ci, którzy podejrzewają, że byli celem ataku, powinni natychmiast zmienić swoje hasła i przejrzeć ostatnią aktywność na swoim koncie.