Поддельная страница входа в Gmail крадет учетные данные

Новая фишинговая атака на Gmail обманывает пользователей поддельными уведомлениями о голосовой почте и крадет их учетные данные с помощью высокотехнологичной схемы.

Кампания, впервые обнаруженная Анурагом, начинается с электронных писем, маскирующихся под уведомления о «новом голосовом сообщении». Эти сообщения, казалось бы, исходят от надежных служб голосовой почты и включают кнопку «Прослушать голосовое сообщение». Клик по ней отправляет жертв на ряд скомпрометированных сайтов.

Первый этап особенно искусно замаскирован, проводится на законной маркетинговой платформе Microsoft — Dynamics (assets-eur.mkt.dynamics.com). Использование надежной инфраструктуры придает атаке убедительности и помогает ей проскользнуть мимо обычных фильтров безопасности электронной почты.

Затем пользователей отправляют на страницу CAPTCHA на ‘horkyrown[.]com’, домен зарегистрирован в Пакистане. CAPTCHA создает ложное ощущение безопасности, являясь частью злонамеренной схемы. В последнем шаге показывается безупречная копия страницы входа в систему Gmail, включая брендирование Google.

Как только пользователи вводят свою информацию, система не только захватывает электронные письма и пароли, но и коды двухфакторной аутентификации, резервные коды восстановления, и даже ответы на секретные вопросы. Данные экспортируются на серверы за рубежом еще до того, как жертвы осознают, что они были скомпрометированы.

Анураг заметил, что «вредоносный JavaScript, управляющий поддельной страницей входа, использует сложные методы обфускации». Код использует шифрование AES, чтобы скрыть свои намерения, и содержит антиотладочные инструменты, которые перенаправляют пользователей на реальную страницу входа в Google, если они пытаются ее исследовать.

Эксперты предупреждают, что эта кампания представляет собой «значительное развитие методов фишинга, сочетающих социальную инженерию с злоупотреблением легитимной инфраструктурой и продвинутыми методами технической уклонения».

Пользователям Gmail рекомендуется быть осторожными при получении неожиданных уведомлений о голосовой почте и всегда проверять запросы на вход через официальные каналы Google. Тем, кто подозревает, что стал целью атаки, следует немедленно изменить свои пароли и просмотреть недавнюю активность учетной записи.