Los re direccionamientos de URL son explotados para phishing

 Stu Sjouwerman

 

Los atacantes están explotando los redireccionamientos abiertos para distribuir enlaces a sitios de recopilación de credenciales, según Roger Kay de INKY. Los atacantes están explotando dominios vulnerables de American Express y Snapchat para lanzar los ataques. Desde entonces, American Express solucionó la vulnerabilidad, pero el dominio de Snapchat sigue sin parchear.

“Desde mediados de mayo hasta finales de julio, INKY detectó muchos casos de malhechores que enviaban correos electrónicos de phishing que aprovechaban las vulnerabilidades de redirección abierta que afectaban a los dominios de American Express y Snapchat”, escribe Kay. “El redireccionamiento abierto, una vulnerabilidad de seguridad que ocurre cuando un sitio web no valida la entrada del usuario, permite que los malos actores manipulen las URL de dominios de alta reputación para redirigir a las víctimas a sitios maliciosos. Dado que el primer nombre de dominio en el vínculo manipulado es, de hecho, el del sitio original, el vínculo puede parecer seguro para el observador casual. El dominio de confianza (por ejemplo, American Express, Snapchat) actúa como una página de inicio temporal antes de que el usuario sea redirigido a un sitio malicioso”.

Los correos electrónicos de phishing se hacen pasar por DocuSign, FedEx y Microsoft, y los enlaces conducen a una página de inicio de sesión de Microsoft falsificada. Los actores de amenazas también utilizaron información personal robada para adaptar los ataques a usuarios individuales.

“Tanto en los exploits de Snapchat como en American Express, los black hats insertaron información de identificación personal (PII) en la URL para que las páginas de inicio maliciosas pudieran personalizarse sobre la marcha para las víctimas individuales”, dice Kay. “Y en ambos, esta inserción se disfrazó convirtiéndola a Base 64 para que pareciera un montón de caracteres aleatorios. Insertamos nuestros propios caracteres aleatorios en estas cadenas para que el observador casual no pueda aplicar ingeniería inversa a las cadenas PII”.

Kay ofrece los siguientes consejos para ayudar a los usuarios a reconocer estos enlaces.

“Al examinar los enlaces, los usuarios deben estar atentos a las URL que incluyen, por ejemplo, 'url=', 'redirect=', 'external-link' o 'proxy'”, dice Kay. “Estas cadenas podrían indicar que un dominio de confianza podría redirigir a otro sitio. Los destinatarios de correos electrónicos con enlaces también deben examinarlos en busca de múltiples apariciones de "http" en la URL, otra posible indicación de redirección".

¡Conoce como puedes protegerte!