Los atacantes fueron detectados recientemente explotando una falla de día cero en los servicios de correo electrónico y SMTP de Salesforce en una sofisticada campaña de phishing destinada a robar las credenciales de los usuarios de Facebook.
Los investigadores de Guardio detectaron ciberatacantes que enviaban correos electrónicos de phishing dirigidos con direcciones @salesforce.com utilizando la infraestructura legítima de Salesforce. Una investigación reveló que pudieron explotar una falla de validación de correo electrónico de Salesforce para esconderse detrás del estado de confianza del dominio con usuarios y protecciones de correo electrónico por igual.
El remitente de los correos electrónicos afirmaba ser "Metaplataformas" y los mensajes incluían enlaces legítimos a la plataforma de Facebook, lo que reforzaba aún más la legitimidad.
"Es obvio por qué hemos visto este correo electrónico deslizarse a través de los mecanismos tradicionales antispam y antiphishing", señalaron en la publicación Oleg Zaytsey y Nati Tal de Guardio Labs . "Incluye enlaces legítimos (a facebook.com) y se envía desde una dirección de correo electrónico legítima de @salesforce.com, uno de los principales proveedores de CRM del mundo".
Los mensajes dirigían a los destinatarios a través de un botón a un dominio legítimo de Facebook, apps.facebook.com, donde se modificó el contenido para informarles que habían violado los términos de servicio de Facebook. Desde allí, otro botón conducía a una página de phishing que recopilaba datos personales, incluidos el nombre completo, el nombre de la cuenta, la dirección de correo electrónico, el número de teléfono y la contraseña.
No obstante, "no hay evidencia de impacto en los datos de los clientes", dijo Salesforce a Guardio. La falla, mientras tanto, ha sido arreglada.
Abuso de juegos de Facebook discontinuados
En el lado de Facebook, los atacantes abusaron de apps.facebook.com al crear un juego de aplicación web, que permite lienzos personalizados. Facebook ha descontinuado la capacidad de crear lienzos de juegos heredados, pero los juegos existentes que se desarrollaron antes del final de la función fueron protegidos. Parece que los actores maliciosos abusaron del acceso a estas cuentas, dijeron los investigadores.
Al hacer esto, podrían "insertar contenido de dominio malicioso directamente en la plataforma de Facebook, presentando un kit de phishing diseñado específicamente para robar cuentas de Facebook que incluye eludir el mecanismo de autenticación de dos factores (2FA)", dijeron los investigadores, y agregaron que la empresa matriz de Facebook, Meta "rápidamente eliminó las cuentas malévolas y el juego web".
?Estamos haciendo un análisis de causa raíz para ver por qué nuestras detecciones y mitigaciones para este tipo de ataques no funcionaron?, dijo el equipo de ingeniería de Meta a Guardio, según la publicación.
Protección de puertas de enlace de correo legítimas
La prevalencia de los ataques de phishing y las estafas sigue siendo alta , y los atacantes encuentran formas de darle un nuevo giro y aumentar la sofisticación de un viejo tipo de ingeniería social que aún funciona. De hecho, a menudo se usa como punto de entrada inicial a las redes corporativas para lanzar ransomware y otros ataques.
Un aspecto emergente y preocupante de las campañas recientes es la explotación de servicios aparentemente legítimos, como CRM como Salesforce, plataformas de marketing y espacios de trabajo basados ??en la nube para llevar a cabo actividades maliciosas, señalaron los investigadores: "Esto representa una brecha de seguridad significativa, donde los tradicionales los métodos a menudo tienen dificultades para seguir el ritmo de las técnicas avanzadas y en evolución empleadas por los actores de amenazas".
Los proveedores de servicios, entonces, deben intensificar su juego de seguridad para evitar que se abuse de estas plataformas en estafas de phishing que explotan puertas de enlace de correo seguras y de buena reputación. Los pasos para hacer esto incluyen reforzar los procesos de verificación para garantizar la legitimidad de los usuarios, así como realizar un análisis completo y continuo de la actividad para identificar rápidamente cualquier uso indebido del portal, ya sea a través de un volumen excesivo o mediante el análisis de metadatos, como listas de correo y características del contenido.
Fuente: darkreading.com