ثغرة في Google تتيح هجمة تصيد مقنعة تستهدف مستخدمي العملات المشفرة

حذر مطور Ethereum Name Service (ENS) الرئيسي، نيك جونسون، مستخدمي العملات المشفرة من شكل جديد من احتيال التصيد الإلكتروني يتضمن بنية Google التحتية. وفي منشور على X، شرح جونسون كيف يستغل المحتالون ثغرة في البنية التحتية لـ Google.

ووفقاً لـ Johnson، يمكن للمحتالين إرسال بريد صحيح يخطر المستخدمين بأنه تم تسليم أمر قضائي إلى Google لتسليم معلومات إلى حسابهم على Google. ويطلب هذا التنبيه الأمني، الذي يبدو حقيقياً تماماً، من المستخدم الاعتراض على الأمر القضائي أو فحص مواد القضية.

قال:

"أول شيء يجب ملاحظته هو أن هذا بريد إلكتروني صالح وموقع - لقد تم إرساله حقاً من [email protected]. وهو يجتاز فحص توقيع DKIM، وتعرضه GMail دون أي تحذيرات - بل حتى يضعه في نفس المحادثة مع تنبيهات أمنية أخرى شرعية."

بمجرد أن ينقر المستخدمون على الرابط في البريد الإلكتروني، يتعين عليهم توقيع صفحة الدعم المزعومة. ومع ذلك، فإن بوابة الدعم لها عنوان URL sites.google.com، وهو حيلة لإيهام المستخدمين بأنها حقيقية. ووفقاً لجونسون، من المرجح أن تكون صفحة الدعم المزيفة هذه موقع تصيد حيث يجمع المحتالون بيانات اعتماد المستخدمين.

لاحظ مطور ENS أن الثغرة من المرجح أن تبقى، خاصة وأن Google رفضت التصرف بشأنها. لذلك، من المهم أن يكون المستخدمون على دراية ويحموا أنفسهم.

المحتالون يستغلون Google Sites لإنشاء صفحات دعم مزيفة

في هذه الأثناء، شرح جونسون كيف أن الجهات الفاعلة السيئة أنشأت صفحات دعم مزيفة لـ Google تبدو حقيقية. ووفقاً له، فإن sites.google.com هو منتج قديم من العملاق التقني يسمح للمستخدمين باستضافة محتواهم على النطاق الفرعي google.com.

لاحظ أن المنتج يسمح بالبرامج النصية (scrips) والتضمينات، وهو كيف يتمكن المحتالون من بناء مواقع لجمع بيانات الاعتماد على النطاق الفرعي لـ Google وتحميل نسخ جديدة كلما أزالت فريق Google النسخ القديمة.

قال جونسون:

"أدركت Google منذ فترة طويلة أن استضافة محتوى عام يحدده المستخدم على google.com فكرة سيئة، لكن Google Sites بقي قائماً."

ومع ذلك، لاحظ أن الحل الوحيد لهذه المشكلة هو أن تقوم Google بتعطيل البرامج النصية والتضمينات التعسفية لـ Google Sites، لأن هذا يجعل المنتج أداة تصيد قوية للمحتالين.

تقرير عن خلل (Bug report) إلى Google

من المثير للاهتمام أن المحتالين يولدون رسائل البريد الإلكتروني المزيفة للتنبيه الأمني عن طريق استغلال ثغرة في Gmail. وفي تحليله للبريد الإلكتروني، أشار جونسون إلى مؤشرات مثل رأس البريد الإلكتروني الذي يظهر أنه أُرسل من "privateemail.com"، والمستلم "me@blah"، والمساحة البيضاء أسفل رسالة التصيد.

ووفقاً له، قام المحتالون بذلك بإنشاء حساب Google باسم Me@domain. بعد ذلك، أنشأوا تطبيق OAuth على Google باستخدام النص الموجود في رسالة التصيد، والمساحة البيضاء، و"Google Legal Support" كاسم للتطبيق.

وبمجرد الانتهاء من ذلك، منحوا تطبيق OAuth الوصول إلى حساب Google الخاص بهم 'me@…'، مما مكنهم من إنشاء رسالة تنبيه الأمان من Google وإرسالها إلى me@email. ثم قاموا بإعادة توجيه هذا التنبيه الأمني إلى جميع الأهداف المحتملة.

وبما أن Google هي من أنشأت رسالة التنبيه الأمني الأصلية، فقد تم توقيعها بمفتاح DKIM صالح، مما تجاوز جميع فحوصات الأمان وظهرت كرسالة شرعية في صندوق الوارد الخاص بالمستخدم.

ومع ذلك، قال جونسون إنه قدم تقريراً حول الثغرة إلى Google، لكن عملاق التكنولوجيا قرر عدم معالجتها. وبدلاً من ذلك، أغلق فريق أمان Google التقرير، مشيراً إلى أن الميزة تعمل "كما هو مقصود"، مما يعني أنهم لم يعتبروها ثغرة.

وفي الوقت نفسه، تسلط تقارير احتيال التصيد التي تستغل ثغرات Google لسرقة معلومات المستخدمين الضوء على التهديدات المتعددة التي تواجه مستخدمي العملات المشفرة. قبل أيام قليلة فقط، زعم خبراء أمنيون أن المخترقين يستخدمون برمجيات InfoStealers لسرقة بيانات اعتماد المستخدمين من المتصفحات.