Контакты
Подписка 2025
ITSEC 2025
Интеграция безопасности в процессы внутренней разработки. 3-4 июня на Форуме ITSEC 2025 (весна)
Регистрируйтесь и участвуйте!

Сайты Snapchat и American Express испольовали в фишинговых атаках Microsoft 365

09/08/22

Злоумышленники использовали уязвимости открытого перенаправления (Open Redirects) на сайтах Snapchat и American Express в рамках серии фишинговых атак с целью кражи учетных данных Microsoft 365.

Открытые перенаправления (Open Redirects) — это уязвимости веб-приложений, которые позволяют хакеру использовать домены доверенных организаций и сайтов в качестве временных целевых страниц для упрощения фишинговых атак. Ошибки Open Redirects используются в атаках перенаправления жертв на вредоносные сайты, которые либо заражают вредоносными программами, либо обманным путем вынуждают жертву передать конфиденциальную информацию (учетные данные, платежную и личную информацию и т.д.).

«Доверенный домен (например, American Express, Snapchat) действует как временная целевая страница, прежде чем пользователь будет перенаправлен на вредоносный сайт», - объяснили специалисты Inky в опубликованном отчете.

content-img(274)

По словам исследователей Inky , открытая переадресация Snapchat использовалась в 6 812 фишинговых электронных письмах, отправленных из Google Workspace и Microsoft 365, взломанных за 2,5 месяца. Эти электронные письма выдавали себя за Microsoft, DocuSign и FedEx и перенаправляли получателей на целевые страницы, предназначенные для сбора учетных данных Microsoft.

content-img(276)

Хотя об уязвимости Snapchat сообщил исследователь ayushsinha31 через платформу Open Bug Bounty ещё 4 августа 2021 года, ошибка Open Redirect по-прежнему не исправлена.

Кроме того, ошибка перенаправления American Express была исправлена после того, как её использовали злоумышленники в течение нескольких дней в конце июля. Открытое перенаправление American Express использовалось в 2029 фишинговых электронных письмах с использованием приманок Microsoft Office 365, отправленных с недавно зарегистрированных доменов для перенаправления потенциальных жертв на сайты сбора учетных данных Microsoft.

«В эксплойтах Snapchat и American Express злоумышленники вставляли личную информацию в URL-адрес, чтобы вредоносные целевые страницы настраивались «на лету» для отдельных жертв. В обоих случаях эта вставка была замаскирована путем преобразования ее в Base 64, чтобы она выглядела как набор случайных символов», — объяснили в Inky.

Чтобы защититься от таких атак, эксперты посоветовали получателям электронной почты проверять наличие строк «url=», «redirect=», «external-link», «proxy» или множественных вхождений «HTTP» в URL-адресах, встроенных в электронные письма. Владельцам веб-сайтов также рекомендуется внедрить заявления об отказе от внешнего перенаправления, которые просят пользователей щелкнуть перед перенаправлением на внешние сайты.

Темы:ПреступленияфишингMicrosoft Office
КИИ
Защита контейнеров и микросервисной разработки на Форуме ITSEC 2025
Регистрируйтесь и участвуйте 4 июня 2025 →
Статьи по темеСтатьи по теме

  • Кто зарабатывает на вэйлинге в России?
    Алексей Гусев, старший советник председателя правления банка “ЦентроКредит”, преподаватель РТУ РУДН и НИЯУ МИФИ
    Вэйлинг – специализированный и таргетированный вариант привычного фишинга, нацеленный на VIP-клиентов, относится к не столь распространенному и потому редко упоминаемому виду. Однако в последнее время хакеры начинают обращать на него внимание, а его методики используются в качестве базы для более сложного таргетированного фишинга.
  • 5 атак нового поколения, актуальных в 2023 году
    Александра Соколова, редактор Cloud Networks
    Технологии развиваются беспрецедентными темпами, и, как следствие, растет арсенал инструментов, доступных киберпреступникам для проведения сложных атак.
  • Своя атмосфера: что давно пора сделать для защиты электронной почты
    Илья Померанцев, продуктовый аналитик департамента сетевой безопасности Group-IB
    Рассмотрим три реальные атаки через корпоративную почту, обнаруженные и остановленные нашей системой Group-IB Threat Hunting Framework
  • Примеры фишинга через электронную почту: Как распознать фишинговое письмо
    Антон Тихонов, Технический менеджер направления McAfee
    Готовая инструкция, как распознать фишинговое письмо: простые советы

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2025
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
ТБ Форум
Проектирование и защита API на Форуме ITSEC 2025
Посетите 3-4 июня →

Еще темы...

More...