Esquema de phishing, utiliza Google Drive para evitar la seguridad

Recientemente, se ha observado una campaña de phishing muy selectiva al pasar por alto una puerta de enlace de correo electrónico de Microsoft, que utiliza documentos compartidos a través del servicio Google Drive para dirigirse al personal de una empresa del sector de la energía.

Google Drive es un servicio de almacenamiento y sincronización de archivos creados por Google que permite a sus usuarios almacenar archivos en la nube y sincronizarlos sin esfuerzo entre dispositivos y plataformas. Los documentos utilizados para enlazar con la página de destino de phishing se entregaron a través de Google Docs, el procesador de textos en línea de Google.

Los mensajes de phishing detectados por los investigadores de seguridad de Cofense, se hicieron pasar por el CEO de la compañía y trataron de engañar a los empleados para que abrieran un “mensaje importante” compartido a través de Google Docs, el procesador de textos online de Google.

“El correo electrónico es legítimamente enviado por Google Drive a los empleados y parece ser compartido en nombre del CEO por una dirección de correo electrónico que no se ajusta a la convención de nombres de correo electrónico de la empresa objetivo”, explicó Cofense.

Esto hizo posible que los atacantes aprovecharan el servicio legítimo de Google para eludir la protección de detección de phishing proporcionada a la empresa por el servicio de filtrado de correo electrónico basado en la nube de Microsoft Exchange Online Protection.

En realidad, el documento enlazado a un documento de Google Docs que, a su vez, redirigía a las víctimas potenciales a las páginas de destino de phishing de los atacantes que les solicitarían que introdujeran sus credenciales para acceder al mensaje urgente del CEO.

El enlace dentro del cuerpo del correo electrónico, es difícil de defender, porque enlaza con una parte real de Google Drive.

“Si la herramienta de inspección del cuerpo del correo electrónico de la organización no examina más allá del primer enlace, las contramedidas de phishing marcarán el correo electrónico como no malicioso, permitiendo que el phish evite otra medida de seguridad”.

Afortunadamente, aunque los phishers lograron eludir las protecciones de phishing de la empresa, también utilizaron información obsoleta para crear sus correos electrónicos de phishing, lo que debería haber dado suficientes indicios al personal objetivo de que estaban siendo atacados.

Además, aunque los correos electrónicos parecen provenir del director ejecutivo de la empresa. La dirección de correo electrónico utilizada para entregarlos “no se ajusta a la convención de nombres de correo electrónico de la empresa objetivo”, descubrieron los investigadores.

Algunos de los contenidos de los correos electrónicos de phishing también insinuaban que se creaban con la ayuda de plantillas diseñadas para generar rápidamente mensajes de phishing personalizados, ya que al menos dos de las frases utilizadas en estos ataques habían sido detectadas previamente, como parte de una campaña de phishing similar dirigida a centros de enseñanza secundaria.