Capcană direct în Google Calendar. Linkul periculos apare fără să accepți invitația și îți poate fura contul
O nouă campanie de phishing exploatează Google Calendar pentru a strecura linkuri periculoase direct în calendarul victimelor. Evenimentul poate apărea fără ca utilizatorul să accepte invitația sau să dea vreun click, iar atacul pornește din conturi Google reale, deja compromise.
Atacatorii au găsit o metodă prin care pot ocoli unul dintre momentele în care utilizatorii devin de obicei suspicioși: primirea unui e-mail dubios.
Campania, denumită „Red Tide” de cercetătorii în securitate cibernetică de la AegisAI, folosește invitații Google Calendar autentice, generate prin infrastructura Google și trimise din conturi reale care au fost compromise anterior.
Capcană direct în Google Calendar. Linkul periculos apare fără să accepți invitația și îți poate fura contul
Problema este că Google Workspace poate crea automat în calendar evenimentul asociat unei invitații imediat ce aceasta este primită. Utilizatorul nu trebuie să accepte invitația și nici să interacționeze cu mesajul pentru ca evenimentul să apară în calendar.
Capcana poate reapărea când primești notificarea din calendar
Astfel, chiar dacă utilizatorul ignoră e-mailul inițial, evenimentul rămâne în calendar și poate reveni în atenția sa ulterior, atunci când apare o notificare.
Citește și: Escrocherie extrem de periculoasă. Hackerii creează site-uri clonă aproape identice cu cele reale. Fură tot
Invitațiile folosite de atacatori imită situații obișnuite din mediul profesional: documente pentru o licitație, facturi, note de credit sau întâlniri în care ar exista inclusiv mesaje vocale atașate.
În descrierea evenimentului se află însă un link controlat de atacatori.
Dacă victima îl accesează, poate ajunge mai întâi la o verificare CAPTCHA falsă. Aceasta este folosită pentru a îngreuna detectarea automată a paginii periculoase.
După această etapă apare o pagină care imită autentificarea Google. Dacă utilizatorul își introduce acolo datele, acestea ajung la atacatori. Cercetătorii AegisAI au identificat cel puțin șase domenii create pentru a imita infrastructura de autentificare Google.
Citește și: O escrocherie „invizibilă”, pe WhatsApp. Aplicația funcționează normal dar altcineva citește mesajele
Un cont compromis poate răspândi atacul mai departe
Campania are încă o particularitate: conturile compromise pot deveni sursa următorului val de phishing.
Într-un caz documentat de AegisAI, o invitație trimisă dintr-un cont Gmail personal a ajuns la o adresă a unei companii, iar mai puțin de 19 minute mai târziu o altă adresă din aceeași companie trimitea mesaje de phishing asociate aceleiași campanii.
Folosirea unor conturi Google reale face atacul mai greu de identificat. Invitațiile sunt generate de infrastructura legitimă Google, iar simpla eliminare sau plasare în carantină a e-mailului nu înseamnă neapărat și dispariția evenimentului deja creat în calendar.
Pentru organizații, cercetătorii recomandă modificarea setărilor Google Workspace astfel încât invitațiile să fie adăugate automat doar atunci când provin de la expeditori cunoscuți. Măsura reduce riscul, dar nu îl elimină complet, deoarece un cont compromis cu care utilizatorul a comunicat anterior poate fi considerat cunoscut, potrivit AegisAI.
