Странни имейли от Google: Какво е това и трябва ли

Странни имейли от Гугъл: Какво е това и би трябвало ли да ги отворите?

Фишингът е рискова игра, която набира скорост с всяка минала година: щом софтуерните компании блокират една лъжлива скица, на нейно място незабавно се появява нова. В момента нов фишинг имейл стана вирусен и съумява да премине инспекциите на Гугъл и Gmail.

Според информация на RBC-Украйна (проект Styler), която цитира обява от Android Authority, профилирана в вести за Android и технологии, казусът е настъпил неотдавна.

Подробности за фишинг офанзива по Gmail

Разработчикът Ник Джонсън заяви в Twitter, че е станал жертва на комплицирана фишинг офанзива, която наподобява е изпратена от Гугъл. Според него, имейлът е бил изпратен от [email protected] и също по този начин е бил подписан като accounts.google.com . Интересно е, че Gmail не е посочил никакви предизвестия във връзка с имейла.

Recently I was targeted by an extremely sophisticated phishing attack, and I want to highlight it here. It exploits a vulnerability in Google's infrastructure, and given their refusal to fix it, we're likely to see it a lot more. Here's the email I got:
— nick.eth (@nicksdjohnson)
В наличието е имало линк към страница в sites.google.com, която на пръв взор наподобява законна, само че в действителност се оказва подправена страница за поддръжка. Гугъл Sites е публична услуга на Гугъл, предопределена за основаване на уеб страници. Нападателите евентуално са избрали точно тази платформа, с цел да заблудят потребителите и да основат усещането, че се намират на публична страница на Гугъл.

Когато потребителят кликне върху бутоните " Заявка за обзор " или " Качване на спомагателни документи ", той е отведен на подправена страница за вход, хоствана на същите sites.google.com.

Джонсън твърди, че тази офанзива е допустима заради две уязвимости, които Гугъл в началото отказал да поправя.

Първо, той предложи компанията да деактивира скриптовете и осъществяването на случаен код на страниците на Гугъл Sites.

Второ, той показва угриженост по отношение на обстоятелството, че имейлът е подписан с accounts.google.com.

Как нападателите манипулират системата

Ако се вгледате деликатно в полето " mailed-by ", можете да видите, че имейлът в действителност идва от домейна privateemail.com. Оказа се, че нападателите са записали личен домейн и са основали акаунт в Гугъл, обвързван с него. След това те сътвориха приложение на Гугъл OAuth и показаха текста на фишинг имейла като име на приложението. След като достъпиха профила си в Гугъл, те сполучливо изпратиха предпазен имейл от името на Гугъл, който в следствие доближи до жертвите.

Джонсън заяви за уязвимостта, само че Гугъл в началото затвори отчета, потвърждавайки, че това държание е общоприетоо. По-късно обаче компанията промени решението си и се ангажира да реши казуса с удостоверяването.

Независимо от всичко, това е доста правдоподобна фишинг офанзива и потребителите би трябвало да бъдат изключително деликатни. Интересно е да се спомене, че сходна скица е била докладвана и преди: тогава на потребителите са изпращани подправени имейли за възобновяване на сигурността, хипотетично изпратени от името на Гугъл, а също по този начин са били получавани и позвънявания с подправени номера за поддръжка на Гугъл.