0 
0 Uma campanha maliciosa direcionada aos usuários da Internet na Eslováquia está servindo como outro lembrete de como os operadores de phishing frequentemente utilizam serviços e marcas legítimos para evitar controles de segurança.
Nesse caso, os agentes de ameaças estão aproveitando um recurso Premium do LinkedIn chamado Smart Links para direcionar os usuários a uma página de phishing para coletar informações de cartão de crédito. O link está incorporado em um e-mail supostamente do Serviço Postal da Eslováquia e é um URL legítimo do LinkedIn, portanto, gateways de e-mail seguros (SEGs) e outros filtros geralmente não o bloqueiam.
“No caso que Cofense descobriu, os invasores usaram um domínio confiável como o LinkedIn para passar por gateways de e-mail seguros”, diz Monnia Deng, diretora de marketing de produtos da Bolster. “Esse link legítimo do LinkedIn redirecionou o usuário para um site de phishing, onde eles fizeram um grande esforço para parecer legítimo, como adicionar uma autenticação falsa de mensagem de texto SMS”.
O e-mail também pede ao destinatário que pague uma quantia incrivelmente pequena de dinheiro por um pacote que aparentemente está pendente de envio para eles. Os usuários enganados ao clicar no link chegam a uma página projetada para se parecer com a que o serviço postal usa para coletar pagamentos online. Mas, em vez de simplesmente pagar pelo suposto envio do pacote, os usuários acabam fornecendo todos os detalhes do cartão de pagamento para os operadores de phishing.
Nem o recurso First Tine Smart Links foi abusado
A campanha não é a primeira vez que os agentes de ameaças abusam do recurso Smart Links do LinkedIn – ou Slinks, como alguns chamam – em uma operação de phishing. Mas é um dos raros casos em que e-mails contendo Slinks do LinkedIn adulterados acabaram nas caixas de entrada dos usuários, diz Brad Haas, analista sênior de inteligência da Cofense. O fornecedor de serviços de proteção contra phishing está atualmente rastreando a campanha eslovaca em andamento e esta semana divulgou um relatório sobre sua análise da ameaça até agora.
Os links inteligentes do LinkedIn são um recurso de marketing que permite que os usuários inscritos no serviço Premium direcionem outras pessoas para o conteúdo que o remetente deseja que eles vejam. O recurso permite que os usuários usem um único URL do LinkedIn para direcionar os usuários a vários materiais de marketing, como documentos, arquivos do Excel, PDFs, imagens e páginas da web. Os destinatários recebem um link do LinkedIn que, quando clicado, os redireciona para o conteúdo por trás dele. O LinkedIn Slinks permite que os usuários obtenham informações relativamente detalhadas sobre quem pode visualizar o conteúdo, como eles podem ter interagido com ele e outros detalhes.
Ele também oferece aos invasores uma maneira conveniente — e muito confiável — de redirecionar os usuários para sites maliciosos.
“É relativamente fácil criar links inteligentes”, diz Haas. “A principal barreira à entrada é que requer uma conta Premium do LinkedIn”, observa ele.” Um agente de ameaças precisaria comprar o serviço ou obter acesso a uma conta de usuário legítimo. esses links para enviar usuários a sites maliciosos, diz ele: “Vimos outros agentes de ameaças de phishing abusando dos links inteligentes do LinkedIn, mas hoje é incomum vê-los chegando às caixas de entrada”.
Aproveitando Serviços Legítimos
O crescente uso por invasores de ofertas legítimas de software como serviço e nuvem, como LinkedIn, Google Cloud, AWS e vários outros, para hospedar conteúdo malicioso ou direcionar usuários a ele, é uma das razões pelas quais o phishing continua sendo um dos principais vetores de acesso.
Na semana passada, o Uber sofreu uma violação catastrófica de seus sistemas internos depois que um invasor criou as credenciais de um funcionário e as usou para acessar a VPN da empresa. Nesse caso, o invasor – que a Uber identificou como pertencente ao grupo de ameaças Lapsus$ – enganou o usuário para aceitar uma solicitação de autenticação multifator (MFA) fingindo ser do departamento de TI da empresa.
É significativo que os invasores estejam aproveitando as plataformas de mídia social como um proxy para seus sites de phishing falsos. Também preocupante é o fato de que as campanhas de phishing evoluíram significativamente para não apenas serem mais criativas, mas também mais acessíveis para pessoas que não sabem escrever código, acrescenta Deng.
“O phishing ocorre em qualquer lugar em que você possa enviar ou receber um link”, acrescenta Patrick Harr, CEO da SlashNext. Os hackers estão usando sabiamente técnicas que evitam os canais mais protegidos, como o e-mail corporativo. Em vez disso, eles estão optando por usar aplicativos de mídia social e e-mails pessoais como backdoor para a empresa. “Os golpes de phishing continuam a ser um problema sério para as organizações e estão migrando para SMS, ferramentas de colaboração e redes sociais”, diz Harr. Ele observa que o SlashNext viu um aumento nas solicitações de proteção por SMS e mensagens à medida que os compromissos envolvendo mensagens de texto se tornam um problema maior.
FONTE: DARK READING