Atacantes se Aproveitam do Evernote e de Outras Plataformas Para Phishing De Credenciais - Blog Trend Micro - Securing your connected world
Os pesquisadores da Trend Micro encontraram campanhas que abusam da plataforma de anotações Evernote para hospedar páginas de phishing de credenciais. Essas campanhas também exploram outras plataformas compartilhadas para editar imagens, criar infográficos e gráficos, bem como criar templates de marca para a mesma finalidade.
Os blocos de notas do Evernote podem ser compartilhados na plataforma e através de links públicos. E é esse recurso de compartilhamento que é explorado pelos atacantes para espalhar arquivos PDF maliciosos por e-mail de phishing.
Figura 1. Um exemplo de e-mail de phishing abusando do Evernote
Os e-mails de phishing contêm um link que leva a uma página no Evernote. Nessa página, é solicitado aos usuários clicar no link para baixar ou visualizar um documento que aparentemente foi compartilhado usando o "Microsoft Azure Seguro para OneDrive Cloud".
Figura 2. O prompt para baixar ou visualizar o documento
Depois de clicar no link "Baixe ou visualize aqui", os usuários são levados a uma página de phishing que se disfarça como uma página de login da conta da Microsoft.
Figura 3. A página de login falsa da Microsoft
Depois de inserir as credenciais da conta, os usuários serão informados de que uma conta ou senha incorreta foi inserida, solicitando a reinserção das credenciais.
Figura 4. O prompt para reinserir credenciais
Com base em seus cabeçalhos de e-mail, os e-mails passam nas verificações do Sender Policy Framework (SPF) e da autenticação de mensagens, relatórios e conformidade com base no domínio (DMARC). O remetente do e-mail está possivelmente hackeado e a conta comprometida é usada para enviar e-mails de phishing.
Figura 5. Análise de cabeçalho de e-mail indicando verificações SPF e DMARC
Os pesquisadores identificaram o endereço IP do remetente, que eles descobriram ser uma porta RDP (Remote Desktop Protocol) aberta. Ele usa o Windows em um provedor de hospedagem e está vinculado a outros remetentes dos e-mails de phishing. Os assuntos do e-mail também seguem um padrão, como visto nos assuntos da amostra:
<Conta de email> Documento compartilhado via Microsoft Azure 14 fev 2020.
<Nome pessoal> Documento compartilhado via Microsoft Azure 12 fev 2020.
Outras plataformas compartilhadas
Os pesquisadores também descobriram campanhas de phishing que exploram o site de edição de imagens Canva, o infográfico e criador de gráficos Infogram e a plataforma de template de marca Lucidpress. Os e-mails nessas campanhas envolvem o software de colaboração em equipe Microsoft SharePoint.
Figura 6. Uma campanha de phishing relacionada ao Canva
Figura 7. Uma campanha de phishing relacionada ao Infogram
Figura 8. Uma campanha de phishing relacionada ao Lucidpress
Fontes de terceiros relataram anteriormente ataques semelhantes que abusaram do Microsoft SharePoint e Microsoft Sway.
Protegendo plataformas compartilhadas
Cada vez mais agentes de ameaças estão abusando de serviços legítimos de compartilhamento para realizar campanhas de phishing de credenciais. As empresas devem se armar com as melhores práticas para mitigar esses ataques. Abaixo estão algumas das maneiras pelas quais seus funcionários podem evitar serem vítimas de ataques de phishing:
Evite clicar em links ou baixar arquivos de fontes desconhecidas.
Examine atentamente as URLs antes de clicar nelas. Passar o cursor sobre o link pode revelar que ele consegue levar a uma página diferente da esperada.
Cuidado com os erros gramaticais e de ortografia.
Tenha cuidado com os e-mails que solicitam informações confidenciais.
As soluções de segurança para e-mail e colaboração também podem aumentar a proteção contra phishing.