Bug 0-day di Salesforce sfruttato in una sofisticata campagna di phishing

Ago 03, 2023 Marina Londei Attacchi, In evidenza, Minacce, News, Phishing, RSS, Social engineering 0

I ricercatori di Guardio hanno individuato una campagna phishing che sfruttava una vulnerabilità 0-day nei servizi email e nei server SMTP di Salesforce. Gli attaccanti hanno usato la vulnerabilità per creare email di phishing nel dominio Salesforce e indurre gli utenti Facebook a fornire informazioni sul proprio account, incluso il nome, l’indirizzo email, il numero di telefono e la password.

Il gruppo ha utilizzato il bug per nascondere le email nel traffico legittimo del gateway, superando i controlli di sicurezza.

Le email analizzate dai ricercatori informavano le vittime che il loro account Facebook era stato coinvolto in un’indagine per aver violato le condizioni del servizio. Nel corpo del messaggio c’era un pulsante che rimandava a una finta pagina del social e dove si richiedeva all’utente di inserire le proprie informazioni per procedere coi controlli.

Credits: IgorVetushko – Depositphotos

Le email provenivano da indirizzi legittimi come @case.salesforce.com in di superare i controlli di phishing.

Nel dettaglio, gli attaccanti hanno sfruttato una vulnerabilità presente nella feature “Email-to-Case” di Salesforce. La funzionalità è pensata per convertire le email in entrata verso gli indirizzi @xxxx.case.salesforce.com in ticket Salesforce; gli attaccanti hanno approfittato di questo particolare per ricevere email di verifica dell’indirizzo creato e, una volta attivato, lo hanno usato per inviare email di phishing in grado di superare i controlli del gateway di posta, compresi i filtri anti-spam e anti-phishing.

La pagina di phishing, inoltre, era ospitata sul dominio legittimo apps.facebook.com usato per Web Games, il portale dei giochi di Facebook. Anche se Meta ha disabilitato la possibilità di pubblicare nuovi giochi, è comunque possibile ricevere supporto per quelli già pubblicati. Gli attaccanti sono riusciti a ottenere l’accesso ad alcuni account degli sviluppatori e sostituire al gioco la pagina di phishing.

Guardio ha individuato la campagna a fine giugno e ha contattato immediatamente Salesforce fornendole tutti i dettagli per riprodurre l’attacco. Il 28 luglio Salesforce ha annunciato di aver risolto la vulnerabilità e di aver aggiornato tutti i servizi coinvolti con il fix di sicurezza.

Pixabay

I ricercatori hanno contattato anche Meta informandola dell’abuso in atto. Il team di Facebook ha provveduto a eliminare tutti gli account compromessi e ha annunciato di star proseguendo con le indagini per individuare altre attività sospette.

Questa sofisticata campagna dimostra ancora una volta che le capacità degli attaccanti stanno migliorando per evadere più controlli di sicurezza. L’essere riusciti a sfruttare dei servizi legittimi per le loro attività ha reso questi cybercriminali una minaccia da non sottovalutare.

Se da una parte gli utenti dovrebbero prestare la massima attenzione al contenuto delle email e non fornire mai dati personali sul web, dall’altra parte i provider dovrebbero rafforzare le proprie linee di difesa e condurre audit periodici sulle vulnerabilità delle infrastrutture.

Condividi l'articolo