La vulnerabilidad de Google permite un ataque de phishing convincente dirigido a usuarios de criptomonedas

El desarrollador principal de Ethereum Name Service (ENS), Nick Johnson, ha alertado a los usuarios de criptomonedas sobre una nueva forma de estafa de phishing que involucra la infraestructura de Google. En una publicación en X, Johnson explicó cómo los estafadores explotan una vulnerabilidad en la infraestructura de Google.

Según Johnson, los estafadores pueden enviar correo válido informando a los usuarios que se ha servido una citación a Google para que entregue información sobre su cuenta de Google. Esta alerta de seguridad, que parece completamente real, pide al usuario que impugne la citación o examine los materiales del caso.

Dijo:

«Lo primero que hay que tener en cuenta es que este es un correo válido y firmado: realmente fue enviado desde [email protected]. Pasa la verificación de firma DKIM, y GMail lo muestra sin ninguna advertencia; incluso lo coloca en la misma conversación que otras alertas de seguridad legítimas».

Una vez que los usuarios hacen clic en el enlace del correo electrónico, deben firmar la supuesta página de soporte. Sin embargo, el portal de soporte tiene sites.google.com como su URL, un ardid para engañar a los usuarios haciéndoles creer que es genuino. Según Johnson, esta falsa página de soporte es probablemente un sitio de phishing donde los estafadores recopilan las credenciales de inicio de sesión de los usuarios.

El desarrollador de ENS señaló que la vulnerabilidad probablemente permanecerá, especialmente ya que Google se ha negado a actuar sobre ella. Por lo tanto, es importante que los usuarios estén conscientes y se protejan.

Estafadores que explotan Google Sites para crear páginas de soporte falsas

Mientras tanto, Johnson explicó cómo los actores malintencionados crearon páginas de soporte falsas de Google que parecían reales. Según él, sites.google.com es un producto heredado del gigante tecnológico que permite a los usuarios alojar su contenido en el subdominio de Google.com.

Señaló que el producto permite scripts y embeds, que es cómo los estafadores son capaces de construir sitios de recopilación de credenciales en el subdominio de Google y subir nuevos siempre que el equipo de Google elimine las versiones anteriores.

Johnson dijo:

“Google se dio cuenta hace tiempo que alojar contenido público especificado por el usuario en google.com es una mala idea, pero Google Sites ha permanecido.”

Sin embargo, señaló que la única solución a este problema es que Google deshabilite los scripts y las incrustaciones arbitrarias para sus Google Sites, ya que esto convierte al producto en una potente herramienta de phishing para estafadores.

Informe de error a Google

Curiosamente, los estafadores están generando el correo electrónico de alerta de seguridad falso explotando un error en Gmail. En su análisis del correo, Johnson señaló pistas como el encabezado del correo que mostraba que fue enviado por “privateemail.com”, el destinatario siendo ‘me@blah,’ y el espacio en blanco debajo del mensaje de phishing.

Según él, los estafadores hicieron esto creando una cuenta de Google para Me@domain. Después, crearon una aplicación OAuth de Google utilizando el texto del correo de phishing, el espacio en blanco y “Google Legal Support” como nombre de la aplicación.

Una vez que hicieron esto, otorgaron a la aplicación OAuth acceso a su cuenta de Google ‘me@…’, lo que les permitió generar el Mensaje de Alerta de Seguridad de Google para el correo me@email. Reenviaron esta alerta de seguridad a todos los objetivos potenciales.

Dado que Google generó el correo de alerta de seguridad original, fue firmado con una clave DKIM válida, omitió todas las verificaciones de seguridad y apareció como un mensaje legítimo en la bandeja de entrada del usuario.

Sin embargo, Johnson dijo que presentó un informe sobre el error a Google, pero la gigante tecnológica ha decidido no abordarlo. En su lugar, el equipo de seguridad de Google cerró el informe, señalando que la función está “Funcionando como se Pretende”, lo que significa que no lo consideraron un error.

Mientras tanto, el informe de estafadores de phishing explotando vulnerabilidades de Google para robar la información de los usuarios destaca múltiples amenazas que enfrentan los usuarios de criptomonedas. Hace solo unos días, expertos en seguridad afirmaron que los hackers están utilizando malware InfoStealers para robar las credenciales de los usuarios de los Navegadores.