Tehdit aktörleri, ziyaretçileri sahte sadece yetişkin tanışma sitelerine yönlendirmek için İngiltere Çevre, Gıda ve Kırsal İşler Departmanı'nın (DEFRA) resmi web sitesinde açık bir yönlendirmeyi kötüye kullandı.
OnlyFans, ücretli abonelerin yetişkin modelleri, ünlüler ve sosyal medya kişiliklerinden özel fotoğraflara, videolara ve yayınlara erişebildiği bir içerik abonelik hizmetidir.
Yaygın olarak kullanılan bir site ve isim tanınabilir olduğu için, tehdit aktörleri aboneler kazanmak veya insanların kişisel bilgilerini çalmak için bir dizi sahte Onlyfans yetişkin tanışma sitesi oluşturdu.
Bu kötü niyetli kampanyanın bir parçası olarak, tehdit aktörleri, meşru bir İngiltere hükümet bağlantısı gibi görünen açık bir yönlendirmeyi kötüye kullandılar, ancak ziyaretçileri sahte Onlyfans buluşma sitesine yönlendirdi.
Bu yönlendirmenin bir örneği aşağıdadır:
Yönlendirmeler, kullanıcıları otomatik olarak başlangıç sitesinden başka bir URL'ye, genellikle harici bir sitede yönlendiren web sitesi web adreslerindeki meşru URL'lerdir.
Örneğin, bir web sitesi, tıklandığında kullanıcıyı otomatik olarak Google'a yönlendiren www.example.com/redirect/www.google.com gibi bir yönlendirmeye sahip olabilir.
Açık bir yönlendirme, tehdit aktörlerinin ve dolandırıcıların meşru bir siteden istedikleri herhangi bir siteye yönlendirme oluşturmasına izin veren herkes tarafından değiştirilebilir.
Bu, tehdit aktörlerinin açık yönlendirmeleri kötüye kullanmasına ve kimlik avı formlarını görüntülemek veya kötü amaçlı yazılım sunmak için ziyaretçileri kontrol altındaki web sitelerine gönderen arama sonuçlarında meşru bağlantıların görünmesine neden olur.
Defra'nın nehir koşullarında açık yönlendirmeyi kötüye kullanan kötü niyetli kampanya, bulgularını BleepingComputer ile paylaşan Pen Test Partners'taki analistler tarafından geçen hafta keşfedildi.
"Salı öğleden sonra, meslektaşlarımdan biri Adam Bromiley, İngiltere'nin Çevre Ajansı web sitesinde açık bir yönlendirme fark etti. SOC (Chip üzerinde Donanım Sistemi) veri sayfalarını ararken bir Google araması sırasında ortaya çıktı!" Kalem testi ortakları.
Bu yönlendirmeler, daha sonra Google'ın dizinli botları tarafından dizine eklenen web sitelerine eklendikten sonra muhtemelen porno ve yetişkin sitesini tanıtan Google arama sonuçları olarak listelenmiştir.
Fiddler tarafından izlenen ağ isteklerinden de görebileceğiniz gibi, 'RiverConditions.Environment-Agency.gov.uk/RelateDlink.html' bağlantısı üzerine tıklayarak, ziyaretçileri sonuçta çeşitli sahte yetişkin sitelerine inen bir dizi yönlendirme yoluyla yönetti, 'Kap5vo.cyou' olarak, 'https: //rvzqo.impresivedate [.] com' ve daha fazlası.
Örneğin, rvzqo.impresivedate [.] Com sitesi ilk açıldığında, büyük bir animasyonlu Onlyfans logosu ve ardından aşağıdaki sahte tanışma sitesi görüntüler.
Bu sahte sadecefans siteleri, kullanıcıyı aradıkları "tarih" türü ile ilgili bir dizi soruyu cevaplamasını ve sonuçta onları bir kez daha yetişkin "hile" sitelerine yönlendirmesini ister.
Çoğu '.gov.uk' siteleri HackerOne aracılığıyla güvenlik raporlarını kabul ederken, Çevre Ajansı programın bir parçası değildir. Bu nedenle, açık yönlendirmeyi bulmak ve Defra'daki doğru kişiye bildirmek arasında 24 saatlik bir gecikme vardı.
"RiverConditions.Environment-agucency.gov.uk" adresindeki istismar edilen Defra alanı çevrimdışı olarak alındı ve DNS kayıtları, Pen Test Partners raporlarını sunduktan yaklaşık 48 saat sonra kaldırıldı. Ne yazık ki, web sitesi bunu yazarken hala ulaşılamıyor.
Aynı zamanda, ikinci bir araştırmacı Google arama sonuçları aracılığıyla aynı sorunu fark etti ve sorunu Twitter'da açıkça ifşa etti.
BleepingComputer, yeniden yönlendirme saldırısı hakkında Defra ile temasa geçti ve ajansın teknik sorunların farkında olduğu ve içeriği hala erişilebilecek yeni bir yere taşıdığı söylendi.
Bir İngiltere Çevre Ajansı sözcüsü BleepingComputer'a verdiği demeçte, "Thames River Koşulları web sitesi ile ilgili teknik sorunların farkındayız. Ekiplerimiz, içeriği halkın kolayca erişebileceği yeni bir siteye taşımak için hızlı bir şekilde çalıştı." Dedi.
Hükümetin açık yönlendirme alanlarının yetişkin kimlik avı sitelerini zorlamaya yönelik kötüye kullanımı yeni değil.
2020'de, kötü niyetli bir SEO kampanyası, ziyaretçileri porno sitelerine yönlendirmek için Weather.gov gibi çok sayıda ABD hükümet web sitesinde açık bir yönlendirmeyi kötüye kullandı.
O yıl başka bir kötü niyetli kampanya, ziyaretçileri kötü amaçlı yazılım yayan Covid-19 Kimlik avı sitelerine yönlendirmek için HHS.GOV'a açık bir yönlendirmeyi kötüye kullandı.
Daha yakın zamanlarda, ziyaretçileri Microsoft 365 Kimlik Yardım sitelerine yönlendirmek için Snapchat ve American Express sitelerindeki açık yönlendirmeleri kullanan saldırganlara bildirdik.
Devam eden Flipper Sıfır Kimlik Yardım Saldırıları Hedef InfoSec Topluluğu
Bitrat kötü amaçlı yazılım kampanyası, kimlik avı için çalıntı banka verilerini kullanır
Polonya, Rusya bağlantılı hayalet yazar hackleme grubunun saldırıları uyarıyor
Ghost CMS Kritik Kimlik Doğrulama Bypass kusuruna karşı savunmasız
T-Mobile Hacker 25 milyon dolarlık telefon kilit açma şeması için 10 yıl alıyor
Kaynak: Bleeping Computer