روابط عمومی شرکت ایدکو (توزیعکنندهی محصولات کسپرسکی در ایران)؛ محققین دریافتهاند که مهاجمین در حال سوءاستفاده از قابلیت گوگلداکس به نام Comments هستند. آنها از این قابلیت برای ارسال لینکهای مخرب در یک کمپین فیشینگ که عمدتاً کاربران Outlook را مورد هدف قرار میدهد استفاده میکنند. محققین شرکت امنیتی و مشارکت ایمیل به نام Avanan ابتدا در ماه دسامبر شاهد موج جدید و بزرگ نفوذ هکرها به قابلیت Comments گوگلداکس شدند. شخصی به نام جرمی فاچز محقق/تحلیلگر امنیت سایبری Avanan حتی گزارشی هم در این خصوص نوشت و سهشنبه گذشته منتشر کرد. به گفته فاچس، Avanan ابتدا در ماه اکتبر متوجه شد که قابلیت Comments سرویسهای گوگلداکس، شیتس و اسلایدز میتوانند برای ارسال ایمیلهای اسپم اکسپلویت شوند اما تا کنون گوگل به این موضوع واکنشی نشان نداده است. او در گزارش خود چنین نوشته است، «این آسیبپذیری شناختهشده از آن زمان ذرهای توسط گوگل تقلیل نشده است». تاکنون مهاجمین به بیش از 500 اینباکسِ بیش از 100 اکانت با اکسپلویت کردن این قابلیت گوگل حمله کردهاند. مهاجمین با افزودن کامنت به داکیومنتی که کاربر مورد هدف را با @ منشن میکند (همین به طور خودکار باعث میشود ایمیل به اینباکس فرد ارسال شود) به کاربران حمله میکنند. این ایمیل که از سمت گوگل است حاوی متن و نیز لینکهای مخرب میباشد. در این گزارش همچنین از نمونهای یاد شده است که در آن همین متود روی اپ ارائه یعنی Slides پیاده شده است.
دور زدن المانهای شناسایی
به دلایل مختلفی میگوییم قربانیان بسختی میتوانند تشخیص دهند ایمیل ارسالشده بدانها بعد از تگشدن در قابلیت Comments مخرب است. دلیل اول اینکه آدرس ایمیل فرستنده نمایش داده نمیشود (فقط اسم مهاجم) که همین باعث میشود عاملین خود را جای هویتهای قانونی بزنند و کاربران را فریب دهند. همچنین فیلترهای ضداسپم هم سخت میتوانند دست به قضاوت بزنند و حتی تشخیص برای کاربر نهایی نیز به مراتب سختتر میشود. برای مثال یک هکر میتواند اکانت رایگان جیمیل بسازد سپس گوگل داکی درست کرده و آن را به تارگت مورد نظر خود ارسال کند. هدف شوم منشن در کامنت را سخت میتوان شناسایی کرد زیرا کاربر نهایی هیچ ایدهای از اینکه آیا کامنت از سوی گوگل است یا هکر ندارد. فاچس در گزارش خود چنین نوشته است، «فقط گفته میشود فلان ایمیل شما را در کامنت دایومنت زیر منشن کرده است». ایمیل همچنین کامنت کامل را در خود دارد؛ تازه بدان لینکها و متن را نیز ضمیمه کنید. این یعنی قربانی هرگز نیازی نیست به داکیومنت برود زیرا پیلود در خود ایمیل جاساز شده است. به نقل از فاچس، «در آخر مهاجم حتی دیگر نیاز هم نیست که داکیومنت را به اشتراک بگذارد- همینکه فرد را در کامنت منشن کند یعنی مأموریت خود را به درستی انجام داده است». محافظتهای معمول این ایمیلها را فلگ (شناسایی) نمیکنند زیرا نوتیفیکیشن مستقیم از گوگل میآید و خوب گوگل امین همه کاربران است. مطمئناً Advanced Threat Protection این بردار حمله را در اسکن خود از قلم میاندازد.
گوگلداکس در قاموس سطح حمله
این کمپین اگر گوگل بخواهد حملهها را نادیده بگیرد و واکنشی نشان ندهد نه تنها به حیات خود ادامه داده بلکه تعداد حملات خود را نیز افزایش خواهد داد. ماه ژوئن اولین باری بود که محققین Avanan پی بردند عاملین تهدید میزبان حملات فیشینگ در گوگل داکس هستند (ارسال لینکهای مخرب با هدف سرقت اطلاعات محرمانه قربانیان). در آن واحد اکسپلویت جدید این اپ را نیز شناسایی کردند. سپس در ماه اکتبر همانطور که پیشتر بدان اشاره کردیم محققین متوجه شدند عاملین مخرب در حال اکسپلویت قابلیت Comments هستند. سپس ماه دسامبر شاهد حملات بیشتری از این جنس بودند و بعد هم تکرار این حملات در شروع ژانویه. Avanan توصیه کرده است که کاربران پیش از کلیک روی کامنت گوگلداکس از قانونی بودن کامنت اطمینان حاصل کنند. همچنین پیشنهاد دادهاند موقع بازبینی کامنتها بهداشت سایبری را رعایت کنند مانند گشتن به دنبال غلط املایی را ایراد گرامری. فاچس میگوید، «اگر مطمئن نیستید خود را به فرستنده قانونی برسانی و اطمینان حاصل کنید آنها بودند که آن را ارسال کردهاند». متخصصین امنیتی میتوانند با به کار گرفتن محافظت امنیتی با این حملات مبارزه کنند. این راهکارها محافظتی در واقع کل بسته را شامل ابزار اشتراکگذاری فایل و اپهای مشارکتی امنیت میبخشند.
منبع: کسپرسکی آنلاین (ایدکو)
کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکای، کسپراسکای، و یا کاسپراسکای نیز میشناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکی نام دارد.