Phishing Attack On Azure Blog Storage Dodges Users näyttämällä allekirjoitetun SSL-varmenteen Microsoftilta

Microsoft Azure

Viimeisimmässä Office 365: n tietojenkalasteluhyökkäyksessä on havaittu käyttävän tietojenkalasteluhyökkäystä, joka ilmeisesti käyttää erilaista ja melko mielenkiintoista tekniikkaa Azure Blog Storage -palvelimessa isännöityjen verkkohuijausmuodon tallentamiseen. Nukkuva tietokone ilmoitti.

Azure Blob Storage on Microsoftin tallennusratkaisu, jota voidaan käyttää strukturoimattomien tietojen, kuten videoiden, kuvien ja tekstin, tallentamiseen. Yksi Azure Blob -tallennustilan tärkeimmistä eduista on, että siihen pääsee sekä HTTPS: n että HTTP: n kautta. Kun muodostat yhteyden HTTPS: n kautta, siinä näkyy Microsoftin allekirjoittama SSL-varmenne. Uusi tietojenkalasteluhyökkäys tallentaa tietojenkalastelulomakkeen Azure Blob Storage -sovellukseen, mikä luonnollisesti varmistaa, että näytetty lomake on allekirjoitettu Microsoftilta hankitulla SSL-varmenteella. Siten se luo ainutlaatuisen menetelmän tietojenkalastelulomakkeille, jotka kohdistuvat Microsoftin palveluihin, kuten Azure AD, Office 365 ja muut vastaavat Microsoft-kirjautumistunnukset.

Netskope teki äskettäin samanlaisen havainnon, joka osoitti, että tämän innovatiivisen menetelmän avulla huonot toimijat antavat roskapostiviestejä, joissa on PDF-liitetiedostoja, jotka teeskentelevät, että heidät on lähetetty Denverin lakilomakkeella. Nämä liitteet nimetään nimellä 'Skannattu asiakirja ... tarkista.pdf'. Ne sisältävät yksinkertaisen painikkeen oletetun skannatun asiakirjan väärennetyn PDF-tiedoston lataamiseksi. Kun käyttäjät napsauttavat tätä PDF-linkkiä, heidät viedään HTML-sivulle, joka teeskentelee olevansa Office 365: n kirjautumislomake, joka on tallennettu Microsoft Azure Blob -tallennusratkaisuun. Koska tätä sivua isännöi myös Microsoft-palvelu, se saa ylimääräisen edun olla sivusto, jolla on suojattu SSL-varmenne. Jos outo URL yllättää käyttäjiä, allekirjoitettu SSL-varmenne vakuuttaa heidät siitä, että sen on myöntänyt Microsoft IT TLS CA 5.

Allekirjoitettu SSL-varmenne - Nukkuva tietokone

Kun käyttäjä syöttää tietonsa, sisältö lähetetään palvelimelle, jota tietojenkalasteluhyökkääjät käyttävät. Avattu sivu teeskentelee, että asiakirja on alkamassa latautua, mutta lopulta se vain ohjaa käyttäjän tähän URL-osoitteeseen: https://products.office.com/en-us/sharepoint/collaboration Microsoft-sivusto.

Nukkuva tietokone raportoi että Netskope on suositellut, että yritykset kouluttavat käyttäjiä asianmukaisesti, jotta he voivat tunnistaa kaikki epätyypilliset verkkosivujen osoitteet.