新型釣魚攻擊借Calendly偽裝知名品牌 伺機(jī)劫持廣告管理賬戶

一場(chǎng)持續(xù)進(jìn)行的釣魚攻擊活動(dòng)正以Calendly為誘餌載體，仿冒聯(lián)合利華、迪士尼、萬事達(dá)卡、路威酩軒、優(yōu)步等知名品牌，伺機(jī)竊取目標(biāo)用戶的谷歌工作區(qū)及臉書商業(yè)賬戶憑證。

盡管針對(duì)商業(yè)廣告管理賬戶的攻擊并非新鮮事，但這一攻擊活動(dòng)具備極強(qiáng)的定向性，其精心打造的釣魚誘餌大幅提升了攻擊成功率。

一旦攻擊者獲取營銷賬戶權(quán)限，便可將其作為跳板，發(fā)起各類惡意廣告活動(dòng)，用于中間人釣魚、惡意軟件分發(fā)及點(diǎn)擊劫持攻擊。此外，廣告平臺(tái)支持地域定向、域名過濾及設(shè)備精準(zhǔn)定位等功能，攻擊者可借此實(shí)施“水坑式”攻擊。

從收益角度看，被攻陷的營銷賬戶還可轉(zhuǎn)售給網(wǎng)絡(luò)犯罪分子，實(shí)現(xiàn)直接變現(xiàn)。而谷歌工作區(qū)賬戶往往關(guān)聯(lián)企業(yè)內(nèi)網(wǎng)環(huán)境與核心業(yè)務(wù)數(shù)據(jù)，尤其是在單點(diǎn)登錄及寬松身份提供商配置下，其被竊取的危害會(huì)進(jìn)一步擴(kuò)大。

基于Calendly的釣魚攻擊流程

Calendly是一款正規(guī)的在線日程預(yù)約平臺(tái)，會(huì)議組織者可向參會(huì)方發(fā)送鏈接，供對(duì)方自主選擇空閑時(shí)段。該平臺(tái)此前曾被用于釣魚攻擊，而此次攻擊的特殊之處在于，攻擊者借助大眾熟知的知名品牌建立信任，顯著提升了誘騙效果。

攻擊的具體流程如下：

1. 誘餌投放：攻擊者先偽裝成知名品牌的招聘人員，向目標(biāo)用戶發(fā)送偽造的會(huì)議邀約，且釣魚落地頁還會(huì)仿冒企業(yè)真實(shí)員工身份，增強(qiáng)可信度。據(jù)悉，這些釣魚郵件由AI工具生成，累計(jì)仿冒品牌超75個(gè)，涵蓋路威酩軒、樂高、萬事達(dá)卡、優(yōu)步等。

釣魚郵件啟動(dòng)攻擊

2. 鏈路跳轉(zhuǎn)：受害者點(diǎn)擊郵件鏈接后，會(huì)進(jìn)入偽造的Calendly頁面，頁面首先會(huì)彈出人機(jī)驗(yàn)證（CAPTCHA），驗(yàn)證通過后隨即跳轉(zhuǎn)至AiTM釣魚頁面，嘗試竊取用戶的谷歌工作區(qū)登錄會(huì)話。

3. 多平臺(tái)適配：Push Security在與某受害機(jī)構(gòu)核實(shí)后確認(rèn)，該活動(dòng)核心目標(biāo)為谷歌多客戶賬戶廣告管理賬戶。

假的Calendly頁面

研究人員最初發(fā)現(xiàn)31個(gè)支撐該攻擊的獨(dú)立URL，后續(xù)又排查出多個(gè)變種版本：其一仿冒聯(lián)合利華、迪士尼、樂高、Artisan等品牌，專門竊取臉書商業(yè)賬戶憑證；另一較新版本則采用瀏覽器嵌套攻擊技術(shù)，通過顯示含正規(guī)URL的偽造彈窗，同時(shí)竊取谷歌與臉書兩類賬戶憑證。

針對(duì)臉書賬戶的頁面

4. 反檢測(cè)機(jī)制：釣魚頁面還內(nèi)置反分析防護(hù)，包括攔截VPN及代理流量、禁止訪客在頁面內(nèi)打開開發(fā)者工具等，以此規(guī)避安全檢測(cè)。

變體針對(duì)兩種賬戶類型

并行的惡意廣告釣魚活動(dòng)

與此同時(shí)，Push Security還監(jiān)測(cè)到另一項(xiàng)針對(duì)谷歌廣告管理賬戶的惡意廣告攻擊：用戶在谷歌搜索中查詢“Google Ads”時(shí)，可能點(diǎn)擊到惡意贊助廣告，進(jìn)而被導(dǎo)向谷歌廣告主題的釣魚頁面，最終跳轉(zhuǎn)至仿冒谷歌登錄界面的AiTM釣魚站點(diǎn)。

惡意搜索結(jié)果排名第一

研究發(fā)現(xiàn)，此類攻擊的惡意頁面多部署在Odoo平臺(tái)，部分還會(huì)經(jīng)Kartra平臺(tái)跳轉(zhuǎn)。

虛假Google廣告著陸頁

盡管針對(duì)廣告管理賬戶的同類攻擊早有記載，但對(duì)攻擊者而言，其仍具備極高的牟利價(jià)值。鑒于AiTM技術(shù)可繞過雙重認(rèn)證防護(hù)，安全機(jī)構(gòu)建議高價(jià)值賬戶持有者采取以下防護(hù)措施：使用硬件安全密鑰、輸入憑證前仔細(xì)核驗(yàn)URL、將登錄彈窗拖動(dòng)至瀏覽器邊緣以驗(yàn)證其合法性。

參考及來源：https://www.bleepingcomputer.com/news/security/fake-calendly-invites-spoof-top-brands-to-hijack-ad-manager-accounts/