Εγκληματικές ομάδες του κυβερνοχώρου χρησιμοποιούν έγκυρες υπηρεσίες της Google ως προκάλυμμα για την πραγματοποίηση ευρείας εκστρατείας ηλεκτρονικού ψαρέματος.
Η κακόβουλη δραστηριότητα στοχεύει στην υποκλοπή εταιρικών διαπιστευτηρίων και την εγκατάσταση λογισμικού απομακρυσμένης πρόσβασης, κατευθύνοντας τα θύματα μέσω επίσημων τομέων της Google πριν καταλήξουν σε ιστοσελίδες που ελέγχονται από τους επιτιθέμενους.
Η διαδρομή ανακατεύθυνσης μέσω Google
Αντί για τη χρήση προφανών κακόβουλων συνδέσμων στα μηνύματα ηλεκτρονικού ταχυδρομείου, οι δράστες δρομολογούν τους παραλήπτες μέσω μιας σειράς νόμιμων σημείων της Google. Στις διαδρομές αυτές περιλαμβάνονται υπηρεσίες όπως το Google Meet, η Αναζήτηση, το DoubleClick, το Tag Manager και το Analytics.
Η τακτική αυτή εκμεταλλεύεται τη θετική φήμη των τομέων της εταιρείας, επιτρέποντας στα μηνύματα να παρακάμπτουν τα αυτοματοποιημένα φίλτρα ασφαλείας των οργανισμών.
Εξατομικευμένες σελίδες και κακόβουλο λογισμικό
Μετά την ολοκλήρωση των ανακατευθύνσεων, η κακόβουλη υποδομή προσαρμόζει τη σελίδα υποδοχής στα στοιχεία του στόχου, εμφανίζοντας το λογότυπο της εταιρείας του και προσυμπληρώνοντας τη διεύθυνση ηλεκτρονικού ταχυδρομείου. Όταν ο χρήστης εισαγάγει τον κωδικό πρόσβασης, τα δεδομένα αποστέλλονται σε μια εφαρμογή Telegram, ενώ το σύστημα εμφανίζει ψευδές σφάλμα ζητώντας δεύτερη υποβολή για την υποκλοπή επιπλέον στοιχείων.
Σε ορισμένες παραλλαγές, η διαδικασία εγκαθιστά σιωπηλά το νόμιμο εργαλείο διαχείρισης ScreenConnect, εξασφαλίζοντας διαρκή πρόσβαση στον σταθμό εργασίας του θύματος. Για την αντιμετώπιση της απειλής, συνιστάται στους οργανισμούς η άμεση επαναφορά κωδικών πρόσβασης, ο έλεγχος των συστημάτων για μη εξουσιοδοτημένο λογισμικό και ο αποκλεισμός των αναγνωρισμένων κακόβουλων διευθύνσεων στο δίκτυο.