Обмануть ДКИМ: Новая угроза фишинга на Gmail
Недавний анализ фишинговой атаки выявил использование передовых методов для создания убедительного поддельного электронного письма. Атака была предпринята с учетной записи Outlook (x186997@outlook.com) и осуществлялась с применением повторной атаки DKIM, что позволило злоумышленникам создать электронное письмо, якобы отправленное с подлинного адреса no-reply@accounts.google.com.
Методика подмены и легитимность атаки
Эта подмена оказалась достаточно эффективной, поскольку электронное письмо успешно прошло проверку DKIM и DMARC, обычно применяемые для аутентификации электронной почты. Заголовки письма были искусно изменены, что обеспечило сохранение целостности подписи DKIM, позволяя ему оставаться действительным даже при пересылке.
Злоумышленники воспользовались следующими методами для повышения легитимности своих действий:
- Использование сайтов Google для создания вредоносного приложения OAuth под названием «Служба поддержки Google», в которое были встроены фишинговые ссылки.
- Отражение контента реальных веб-страниц службы поддержки Google, что завоевывало доверие жертв.
- Создание предупреждения от системы безопасности Google, которое казалось полученным из законного источника.
Усложнение обнаружения фишинга
Злоумышленники часто используют доверенные домены и SSL-сертификаты от законных сайтов для размещения фальсифицированного контента. Это значительно затрудняет обнаружение попыток фишинга пользователями.
Рекомендации по противодействию
Для борьбы с такими атаками эксперты рекомендуют следующие меры:
- Регулярно менять ключи DKIM, желательно с циклом в 30 дней или меньше для доменов с высоким уровнем риска.
- Повышать осведомленность пользователей о возможных угрозах.
- Обучать пользователей относиться с осторожностью к электронным письмам, даже если они выглядят достоверными. Важно проверять URL-адреса перед вводом конфиденциальной информации.
- Формировать культуру сообщения о подозрительных электронных письмах.
Применение этих действий поможет снизить риски, связанные с все более изощренными методами фишинга.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
