脅威アクターがGoogleの正規サービスを悪用し、フィッシング被害者を一見信頼できそうなリンク経由で誘導した上で、認証情報窃取ページへ誘導したりScreenConnectリモートアクセスソフトウェアをインストールさせたりする手口が確認されています。
KnowBe4 Threat Labの分析によると、この現在進行中のキャンペーンではGoogleのインフラが「信頼性の代理」として利用されています。
攻撃者はメールに明らかに悪意のあるリンクを直接記載する代わりに、受信者をGoogle Meet、Google検索、DoubleClick、Custom Search、画像検索、Tag Manager、Analyticsといったサービス経由で誘導します。
セキュリティゲートウェイやファイアウォール、URLスキャナーはこうしたGoogleドメインを信頼していることが多く、そのためフィッシングの誘導チェーンが初期検査をすり抜けてしまいます。
このキャンペーンは製造業、政府機関、金融、非営利団体のセクターを標的にしています。
攻撃者は文書レビュー、Microsoft 365の有効期限切れ、FedExの配送通知、OneDriveの支払い、政府給付金、留守番電話といったテーマの誘導文を使用しています。DocuSign、QuickBooks、Microsoft、FedEx、社会保障サービスになりすましたメールも確認されています。
これらのフィッシングURLは、攻撃者が管理するインフラに到達するまでに複数回のリダイレクトを経ることが多くなっています。確認されたある誘導チェーンでは、まずGoogle Meetのリンクリダイレクトから始まり、Google検索を経由した後、DoubleClickのクリック追跡エンドポイントを通過していました。
他の亜種では、Google Custom Search、地域別のGoogle画像検索ドメイン、Google Tag Manager、Google Analyticsのリダイレクトパラメータが悪用されています。
攻撃者は標的のメールアドレスをURLのハッシュフラグメント内に隠しています。ブラウザはURLフラグメントをWebサーバーに送信しないため、あらかじめ設定された標的のメールアドレスをサーバーログや多くのセキュリティツールから隠すことができてしまいます。
このメールアドレスはBase64でエンコードされている場合があり、被害者が最終ページに到達した時点で初めてデコードされます。
リダイレクトチェーンの終端に達すると、被害者は攻撃者が管理するドメイン、侵害されたWebサイト、Cloudflare Workersのエンドポイント、.vuドメインでホストされたフィッシングインフラに着地します。
一部のページでは、分析を遅らせ自動スキャナーを排除するために「少々お待ちください」という画面や偽のCAPTCHAチャレンジが表示されます。このフィッシングキットは訪問者のプロファイリングも行い、IPアドレス、都市、国、ブラウザの詳細情報、ブラウザの言語設定を収集できます。
またGoogle Public DNSを使って標的組織のMXレコードを確認しており、これは偽物や調査用、サンドボックス用のメールドメインに労力を浪費しないための措置とみられます。
最終的に表示される認証情報入力ページは、実在の企業ログインポータルに見えるよう作り込まれています。このフィッシングキットは被害者のメールアドレスからドメインを抽出し、Clearbitから組織のロゴを取得します。
それが失敗した場合はGoogleのファビコンサービスを利用することもあります。さらに、組織の公開Webサイトのライブスクリーンショットを取得し、フィッシングページの背景として使用する場合もあります。
被害者のメールアドレスはあらかじめサインインフォームに入力済みの状態になっており、ブラウザのタブタイトルとページテキストは該当企業名にカスタマイズされています。
KnowBe4によると、このキットは英語、中国語、日本語、韓国語、スペイン語、ドイツ語、フランス語、アラビア語、ロシア語、ベトナム語を含む16言語に対応しているとのことです。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため意図的に無害化表記（例: [.]）としています。再有効化する場合は、MISP、VirusTotal、SIEMなど管理されたスレットインテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/google-services-power-screenconnect/
