Фишеры просят россиян сдать ПДн и учетки под угрозой удаления аккаунта

Фишеры просят россиян сдать ПДн и учетки под угрозой удаления аккаунта

Фишеры просят россиян сдать ПДн и учетки под угрозой удаления аккаунта

Эксперты «Лаборатории Касперского» фиксируют всплеск фишинговых рассылок, нацеленных на кражу учетных данных имейл по упрощенной схеме. Поддельные письма не содержат ссылок и ориентированы на русскоязычных пользователей.

Получателю от имени некоего «центра обмена сообщениями хостинга веб-почты» сообщают об обновлении базы данных, с удалением неиспользуемых аккаунтов. В связи с этим требуется подтвердить активность учетной записи, выслав ПДн, логин и пароль в ответном сообщении.

В тело письма вставлена форма, которую нужно заполнить и отослать в течение 48 часов, в противном случае аккаунт будет деактивирован. Для пущей убедительности злоумышленники иногда ставят темой набор цифр и букв — якобы код уведомления, а в подпись добавляют имитацию свидетельства охраны авторского права, в данном случае неуместную.

 

«Подобные письма, без фишинговой ссылки, но с местом для заполнения данных, мы видим сейчас исключительно на русском языке, — комментирует эксперт Kaspersky Роман Деденок. — Вероятно, это обусловлено несколькими факторами. Во-первых, злоумышленникам становится всё сложнее создавать фишинговые сайты в доменной зоне .ru. Во-вторых, сделать письмо без ссылки на поддельный ресурс банально дешевле. У пользователей же такие сообщения в некоторых случаях могут вызывать даже меньше подозрений: многие знают, что не стоит кликать на сомнительные ссылки, а здесь этого не просят. К тому же подобные рассылки зачастую тяжелее обнаружить защитными решениями».

Советы от Kaspersky по самозащите от подобных угроз:

  • критически относиться к любым сообщениям в Сети, особенно если вас пугают и просят сделать что-либо быстро;
  • не делиться конфиденциальной информацией с посторонними;
  • для регистрации на общедоступных форумах и в чатах, подписки на почтовую рассылку и другие интернет-услуги использовать «публичный» электронный адрес.

Организациям рекомендуется установить надёжное защитное решение на уровне почтового шлюза. Оно будет автоматически отсеивать спам и вредоносные сообщения, ограждая сотрудников от возможных ошибок.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

WAF-защиту Azure, Cloudflare, Google Cloud можно обойти 1207 способами

Команда исследователей из Северо-Восточного университета и Дартмутского колледжа разработала новый метод обхода фильтров WAF, который использует различия в парсинге HTTP-запросов на файрволах и защищаемых веб-серверах.

Традиционные способы обхода WAF полагаются на обфускацию вредоносной полезной нагрузки. Авторы PoC-атаки WAFFLED не стали трогать пейлоад и сосредоточились на невинных элементах контента — заголовках, сегментах тела запроса.

Для манипуляций были выбраны три широко используемых типа содержимого: multipart/form-data, application/xml и application/json.

Экспериментаторы изменяли набор символов для составного контента, значения параметров boundary и namespace, XML-схемы, декларации DOCTYPE, разделы CDATA, форматирование и вложенные структуры в JSON-объектах, стараясь ввести в заблуждение WAF, но так, чтобы атакуемый сервер при этом смог распарсить пробивший фильтры вредоносный запрос без проблем.

Всего в ходе исследования было обнаружено 1207 вариантов обхода WAF, с помощью которого злоумышленник может получить доступ к конфиденциальным данным. Подобные атаки известны как HTTP request smuggling (HRS).

 

Как оказалось, обход по методу WAFFLED составляет угрозу для четырех из пяти испытанных защитных продуктов (AWS WAF, Microsoft Azure WAF, Google Cloud Armor, Cloudflare WAF и ModSecurity, встроенный в nginx).

Тестирование проводилось в комбинации с веб-приложениями на основе популярных фреймворков, таких как Flask, FastAPI, Gin, Express, Spring Boot, Laravel. Проверка в полевых условиях показала: HRS из-за разницы в интерпретации HTTP-запросов актуален для 90% сайтов.

 

Ознакомившись с результатами исследования, Google признала наличие проблемы, заявила, что будет решать ее в приоритетном порядке, и выплатила вознаграждение. В Cloudflare тоже готовят фикс, Microsoft и ModSecurity-сообщество обновили наборы правил.

По мнению университетских исследователей, от таких уязвимостей избавиться не так уж сложно, главное — неукоснительно следовать рекомендациям RFC. В подтверждение своих слов авторы WAFFLED создали опенсорсный инструмент-прокси, который тщательно проверяет HTTP-запросы и приводит их в соответствие текущим стандартам RFC до передачи на WAF.

Тестирование HTTP-Normalizer показало, что он способен блокировать попытки обхода по методу WAFFLED с эффективностью 100%. Накладные расходы при этом ничтожны.

Тем, кто не в состоянии развернуть дополнительный прокси, советуют установить новейшие наборы правил (Azure DRS 2.1, ModSecurity CRS 3.3), по возможности исключить экзотические типы содержимого и ужесточить проверку заголовков Content-Type, Content-Length и Transfer-Encoding на уровне WAF и приложений.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru