Hackers expõem acidentalmente senhas roubadas na Internet - NSW
Publicado por Igor Matsunaga em janeiro 23, 2021 janeiro 23, 2021
Senhas expostas na internet. Uma nova campanha phishing, de larga escala, visando organizações globais ignora a proteção avançada contra ameaças da Microsoft Office 365(ATP). Essa nova ameaça conseguiu roubar mais de 1000 credenciais pertencentes a funcionários corporativos.
Segundo a Check Point Research os ataques teriam tido inicio em agosto do ano passado e visavam principalmente empresas de energia e construção.
Embora as campanhas de phishing estejam entre os motivos mais comuns de violações de dados, o que realmente fez esse ataque se destacar foi a falha de segurança operacional que levou os invasores a exporem acidentalmente as credenciais roubadas na surface web.
"Com uma simples busca no Google, qualquer um poderia ter encontrado a senha de um dos endereços de e-mail roubados e comprometidos: um presente para qualquer hacker oportunista", disseram os pesquisadores .
A sequencia de ataques se iniciou utilizando como iscas, notificações de varreduras da Xerox, aonde possuía um anexo de arquivo HTML que, quando aberto, requisitava o destinatário a inserir suas credenciais do Office 365 em uma página falsa, aonde eram capturadas e enviadas para um servidor remoto em um arquivo de texto.
Os pesquisadores observaram que o código JavaScript para exfiltrating as credencias era muito moderno e refinado a ponto de evadir a maioria dos antivírus e ainda criar uma experiencia de usuário "realista" para induzir as vítimas a fornecer suas informações de login.
Para esse fim, a campanha contou com uma combinação de infraestrutura especializada, bem como servidores WordPress comprometidos que foram utilizados ​​como uma especie de "zona de lançamento" pelos invasores para armazenar as credenciais, aproveitando assim a reputação desses sites existentes para contornar o software de segurança .
O fato de as credenciais roubadas terem sido armazenadas em arquivos de texto específicos dentro desses servidores também significa que mecanismos de pesquisa como o Google podem indexar essas páginas e torná-las acessíveis a qualquer malfeitor procurando por senhas comprometidas com apenas uma pesquisa fácil. Uma técnica muita utilizada e o Google Hacking.
Além disso, ao analisar os diferentes cabeçalhos de e-mail usados ​​nesta campanha, os pesquisadores chegaram à conclusão de que os e-mails foram enviados de um servidor Linux hospedado na plataforma Microsoft Azure usando PHP Mailer 6.1.5 e entregues através de servidores de e-mail 1 & 1 Ionos.
"É altamente provável que as credenciais da conta IONOS comprometida tenham sido usadas pelos invasores para enviar o restante do spam com o tema do Office 365", observaram os pesquisadores.
Para atenuar tais ameaças, é aconselhável que os usuários tomem cuidado com emails de remetentes desconhecidos, domínios semelhantes e erros de ortografia em emails ou sites; evite clicar em links suspeitos em emails; e siga as boas praticas de segurança para proteger suas contas.
"Temos a tendência de acreditar que, quando alguém rouba nossas senhas, o pior cenário é que as informações serão usadas por hackers que as trocam pela dark net", disse Lotem Finkelsteen, chefe de inteligência de ameaças da Check Point. "Não neste caso. Aqui, todo o público teve acesso às informações roubadas."
"A estratégia dos atacantes era armazenar informações roubadas em uma página específica que eles criaram. Dessa forma, depois que as campanhas de phishing rodassem por um determinado tempo, os atacantes poderiam escanear os servidores comprometidos em busca das respectivas páginas da web, coletando as credenciais. O que os invasores não suspeitaram que, se eles conseguiam fazer a varredura dessas páginas na Internet, o Google também poderia. Essa foi uma falha de segurança de operação evidente para os invasores. "