Hackeři zneužívají pro maskování phishingových útoků veřejné cloudy
Kyberbezpečnostní společnost Check Point varuje před novým trendem. Hackeři zneužívají pro maskování phishingových útoků Google Cloud Platform (GCP). Pomocí pokročilých funkcí v oblíbeném cloudovém úložišti mohou lépe maskovat škodlivé aktivity a oklamat uživatele, který by jinak u podezřelé domény nebo webové stránky bez certifikátu HTTPS zpozorněl.
- 4. 8. 2020
- 2 min
Check Point ukazuje, jak se například hackeři snažili zneužít pokročilé funkce GCP k sofistikovanému phishingovému útoku. Hackeři nahráli PDF dokument s odkazem na phishingovou stránku na Disk Google. Phishingová stránka, hostovaná na storage.googleapis[.]com/asharepoint-unwearied-439052791/index.html, žádala uživatele, aby se přihlásil pomocí jména a hesla k Office 365 nebo podnikovému e-mailu. Když uživatel vybral jednu z možností, zobrazilo se vyskakovací okno s outlookovou přihlašovací stránkou. Po zadání přihlašovacích údajů se zobrazil skutečný PDF report publikovaný renomovanou poradenskou společností. Žádná z těchto fází v uživateli nevyvolávala podezření na něco nebezpečného, protože phishingová stránka byla hostována ve službě Google Cloud Storage. Zdrojový kód phishingové stránky ovšem ukázal, že většina zdrojů byla načtena z webu prvtsmtp[.]com, který patřil hackerům. Útočníci začali používat Google Cloud Functions pro spuštění kódu v cloudu, aniž by došlo k odhalení jejich vlastní škodlivé domény. Analýza stránky prvtsmtp[.]com ukázala spojení s ukrajinskou IP adresou (31.28.168[.]4). Mnoho dalších domén souvisejících s tímto phishingovým útokem bylo napojeno na stejnou nebo jiné IP adresy ze stejného bloku síťových IP adres.
Phishingová stránka vyzývá uživatele k přihlášení pomocí jména a hesla k Office 365
PDF report publikovaný renomovanou konzultační společností
Ukázka škodlivého kódu ve phishingové stránce
„Hackeři se snaží zneužít důvěru v cloudová úložiště, protože je takový phishingový útok mnohem těžší identifikovat. Tradiční poučky, jak poznat phishingový útok, jako je napodobování domén nebo webové stránky bez certifikátů, v podobných případech tak úplně nefungují. Uživatelé Google Cloud Platform, týká se to ale i AWS a Azure, by si na tento nový trend měli dávat pozor a preventivně se zabezpečit proti podobným útokům. Pomoci mohou například technologie pro emulaci a extrakci hrozeb, uživatel se pak nemusí bát s hrůzou kliknout na každý dokument,“ uvedl Pavel Krejčí, Security Engineer ve společnosti Check Point.
