Zeki bir UPS Kimlik Avı Kampanyası, sahte ve kötü niyetli 'fatura' kelime belgelerini itmek için UPS.com'daki bir XSS güvenlik açığını kullandı.
Kimlik avı dolandırıcılığı ilk önce güvenlik araştırması Daniel Gallagher tarafından keşfedildi ve bir paketin "istisna" olduğunu belirten UPS'den bir e-posta olarak görülen ve müşteri tarafından alınması gerekiyordu.
Bu kimlik avı saldırısını öne çıkaran şey, tehdit aktörünün, Yasal bir indirme sayfasına benzemek için sitenin normal sayfasını değiştirmek için UPS.com'daki XSS güvenlik açığını kullanmasıdır.
Bu güvenlik açığı, tehdit aktörünün, uzak bir cloudflare işçisi aracılığıyla kötü amaçlı bir belgeyi dağıtmasına izin verdi, ancak doğrudan UPS.com adresinden indirildiği gibi görünmesini sağladı.
Bu e-posta, kötü amaçlı davranış göstermeyen çok sayıda meşru bağlantı ile doldurulur. Bununla birlikte, takip numarası, sayfa açıldığında tarayıcıya kötü amaçlı javascript enjekte eden bir XSS güvenlik açığı için bir Exploit içeren bir bağlantıdır.
İzleme numarası için kullanılan URL'nin temizlenmiş versiyonu, orijinali daha fazla şaşırtmakla birlikte görülebilir.
Bu URL, saldırının bir parçası olarak kullanılan iki ilginç dizeye sahiptir, ilk ilgi eşyası aşağıdaki temel64 kodlu dizgelidir:
Base64 String, URL'nin URL'nin sonuna eklenen bir XSS Exploit Quary parametresini gizlemek için URL'yi daha uzun süre gizlemek için kullanıldığını açıkça açıklayan tehdit aktöründen bir yorum içerir.
Bu yorum ilginçtir, çünkü tehdit aktörlerinin bir URL'nin kimlik avı saldırısının belirli bir şekilde oluşturulduğunu açıklaması için yaygın olmadığı içindir.
İkinci ilgi dizisi, bir kullanıcı web sitesine erişildiğinde UPS.com'a enjekte edilen JavaScript XSS'si Exploit.
ATOB () işlevindeki kodu çözülmüş taban64 dizesi, güvenlik açığının yükleneceği CloudFlare işçi komut dosyasına URL'yi içerir.
URLSCAN'da Gallagher tarafından yakalanan Cloudflare işçi betiği, UPS sayfasının bir dosyanın indirileceği bir mesajı görüntülemesine neden olur.
XSS güvenlik açığı tarafından enjekte edilen CloudFlare işçi betiği, UPS web sitesinin aşağıda gösterildiği gibi bir indirme sayfasını görüntülemesine neden olur.
Sonuçta, sayfa saldırganın CloudFlare projesinden [Virustotal] kötü amaçlı Word belgesini indirecek.
Bu kimlik avı kampanyası çok zekice çünkü URL'yi ziyaret eden bir kullanıcı, bir faturanın indirilmesini sağlayan meşru bir UPS.com URL'si görecek.
Bu taktik, mağdurların faturayı daha az şüphe ile açmasına neden olacak, UPS'den gerçek bir dosya olduğunu düşünüyor.
UPS.com XSS güvenlik açığı, BleepingComputer'ın testlerine dayanarak sabitlenmiştir.
BleepingComputer, saldırı hakkında sorularla irtibata geçti, ancak şu anda geri dönmedi.
İndirilen belge 'invoice_1z7301xr1412220178' olarak adlandırılır ve UPS'den bir nakliye faturası gibi davranır.
Belgeyi açarken, tüm metin okunamaz olacak ve belge bir kullanıcının bir kullanıcının 'içeriği' etkinleştirmesini 'doğru şekilde görüntülemesini isteyecektir.
Etkinleştirildiğinde, makrolar bir dosyayı https://divine-bar-3d75.visual-candy.workers.dev/blackhole.png dosyasını indirmeye çalışacaktır.
Ancak, bu URL artık çalışmıyor, bu yüzden yükü görmek mümkün değil.
Bu kimlik avı dolandırıcılığı, tehdit aktörleri tarafından bilinen kötü amaçlı dosyaları ikna edici bir şekilde dağıtmak için kullanılan yaratıcılığı ve gelişen teknikleri göstermektedir.
E-posta göndereni açıkça şüpheli bir alan göstermiş olsa da, XSS güvenlik açığı URL ve indirme sayfasının yasal olarak UPS'den görünmesine izin verdiği için, birçok insan bu aldatmaca için düşerdi.
Spor yönetimi yazılımındaki hatalar Hacker'ların fitness geçmişini silmesine izin ver
Microsoft: Proxyshell Bugs "sömürülebilir," yaprısı sunucuları şimdi!
Kritik F5 Big-IP hatası, hassas sektörlerde müşterileri etkiler
Ethereum, Şiddetli Zincir Bölünmüş Güvenlik Açığını Düzeltmek için GO DEV'leri Davranıyor
SteelSeries Hatası, bir cihaza takarak Windows 10 yönetici haklarını verir.
Kaynak: Bleeping Computer