Los atacantes utilizan redireccionamientos de Google de varios saltos para una campaña de phishing

Una in­ves­ti­ga­ción pu­bli­ca­da por una em­pre­sa de ci­ber­se­gu­ri­dad de­ta­lla una cam­pa­ña de su­plan­ta­ción de iden­ti­dad en curso que em­plea múl­ti­ples ser­vi­cios de Goo­gle para sor­tear los fil­tros de co­rreo elec­tró­ni­co y las he­rra­mien­tas de se­gu­ri­dad. Los ata­can­tes en­vían men­sa­jes frau­du­len­tos con en­la­ces que uti­li­zan una ca­de­na de re­di­rec­cio­na­mien­tos a tra­vés de di­ver­sos do­mi­nios le­gí­ti­mos de Goo­gle, lo que pro­vo­ca que las pa­sa­re­las de se­gu­ri­dad y los ins­pec­to­res de en­la­ces con­si­de­ren que el sitio es con­fia­ble y per­mi­tan su ac­ce­so.

Al final de esta ca­de­na de re­di­rec­ción, los usua­rios son di­ri­gi­dos a pá­gi­nas web ma­li­cio­sas di­se­ña­das para robar cre­den­cia­les cor­po­ra­ti­vas o para ins­ta­lar una he­rra­mien­ta de ac­ce­so re­mo­to me­dian­te avi­sos fal­sos. Las pá­gi­nas de ini­cio de se­sión frau­du­len­tas se ge­ne­ran de ma­ne­ra di­ná­mi­ca a par­tir del co­rreo elec­tró­ni­co de la víc­ti­ma y mues­tran una cap­tu­ra de pan­ta­lla real del sitio web de su em­pre­sa, ade­más de con­tar con una in­ter­faz mul­ti­lin­güe adap­ta­da a su ubi­ca­ción geo­grá­fi­ca. Los gan­chos uti­li­za­dos en los co­rreos abar­can di­ver­sos con­tex­tos co­mer­cia­les, como re­vi­sio­nes de do­cu­men­tos, ca­du­ci­da­des de cre­den­cia­les, no­ti­fi­ca­cio­nes de pago o en­tre­gas de pa­que­tes.

La cam­pa­ña mues­tra in­di­cios de estar di­ri­gi­da a ob­je­ti­vos es­pe­cí­fi­cos de­bi­do a que las di­rec­cio­nes de co­rreo de las víc­ti­mas se co­di­fi­can y se ocul­tan en el frag­men­to del hash de la URL, una sec­ción que los na­ve­ga­do­res eli­mi­nan antes de en­viar pe­ti­cio­nes y que re­sul­ta in­vi­si­ble para la ma­yo­ría de los es­cá­ne­res y re­gis­tros. Una vez que se in­gre­san los datos en los si­tios fal­sos, la in­for­ma­ción se trans­mi­te rá­pi­da­men­te a un canal de Te­le­gram junto con la di­rec­ción IP, la geo­lo­ca­li­za­ción, el na­ve­ga­dor y re­gis­tros de la or­ga­ni­za­ción afec­ta­da. Los es­pe­cia­lis­tas re­co­mien­dan im­ple­men­tar di­ver­sas me­di­das de blo­queo y bús­que­da de ac­ti­vi­dad ma­li­cio­sa para mi­ti­gar esta ame­na­za, mien­tras que el pro­vee­dor tec­no­ló­gi­co in­vo­lu­cra­do no emi­tió co­men­ta­rios al res­pec­to.