Злоумышленники используют многоступенчатые редиректы Google для обхода защитных решений

В мире киберугроз постоянно идет гонка вооружений: специалисты по безопасности совершенствуют защитные механизмы, а злоумышленники ищут новые способы их обхода. Последняя тенденция — использование доверенных облачных сервисов крупных технологических компаний для маскировки вредоносной активности. Свежий пример такой тактики зафиксировали эксперты: хакеры злоупотребляют множеством сервисов Google, превращая их в звенья сложной многоступенчатой цепи перенаправлений. Ключевая особенность данной атаки заключается в том, что фишинговые ссылки не ведут жертву напрямую на вредоносный ресурс. Вместо этого используется последовательность (multi-hop) редиректов через легитимные домены Google. Поскольку корпоративные системы безопасности часто настроены на доверие к репутационным спискам Google, такие переходы не блокируются и воспринимаются как безопасный трафик.

Подробности

Злоумышленники эксплуатируют легитимную функциональность сервисов Google, создавая автоматические перебросы между ними. Начальная ссылка, которую получает жертва (например, через электронную почту), использует сервисы Google для создания серии «прыжков» (hops). Каждый такой переход с точки зрения сетевого оборудования и прокси-серверов выглядит как обычное обращение к надежному ресурсу Google. После прохождения всей цепочки редиректов пользователь попадает на фишинговую страницу, имитирующую интерфейс входа в популярные онлайн-сервисы. Однако на этом функционал атаки не заканчивается. После ввода учетных данных на поддельной странице происходит дополнительный этап: если пользователь не прошел проверку подлинности или автоматизированные скрипты фиксируют потенциальную жертву, происходит попытка загрузки и установки ScreenConnect. Этот инструмент является легитимным продуктом для удаленного администрирования, но в руках злоумышленников он превращается в бэкдор. Использование валидного инструмента позволяет оставаться незамеченным для антивирусных программ, которые не считают данный софт вредоносным. Технически атака построена таким образом, чтобы максимально усложнить анализ для специалистов по реагированию на инциденты. Каждый переход в цепочке может использовать свои параметры и условия, что делает динамическую проверку ссылок крайне затруднительной. На данный момент конкретные CVE-идентификаторы для данной кампании не опубликованы, так как уязвимости в продуктах Google не используются — эксплуатируется сама логика доверия к сторонним сервисам.

Что делать

Компаниям и пользователям необходимо пересмотреть подход к фильтрации веб-трафика и не полагаться исключительно на репутацию домена верхнего уровня. Рекомендуется внедрение следующих мер защиты: 1. **Использование песочниц (sandbox)** для анализа поведения ссылок в режиме реального времени, а не только проверки URL по черным спискам. 2. **Внедрение политик Zero Trust** для доступа к веб-ресурсам, включая разбиение по категориям и анализ содержимого страниц. 3. **Обучение сотрудников** распознавать фишинговые атаки, особенно те, которые маскируются под легитимные сервисы Google, и использовать многофакторную аутентификацию (MFA), которая может стать преградой для кражи паролей. 4. **Ограничение установки программного обеспечения** правами локального администратора, чтобы предотвратить установку ScreenConnect без соответствующих привилегий. 5. **Мониторинг исходящих соединений** для обнаружения аномальных попыток подключения к сервисам удаленного управления. Итог: доверие к брендам и доменам крупных корпораций больше не является гарантией безопасности. Злоумышленники активно используют «слепые зоны» в системах фильтрации, поэтому защита требует комплексного подхода, сочетающего технологии анализа поведения и повышение осведомленности персонала.

Источник: Dark Reading