Una vulnerabilidad de Google permite un convincente ataque de phishing dirigido a usuarios de criptomonedas

Nick Johnson, desarrollador principal del Servicio de Nombres Ethereum (ENS), ha alertado a los usuarios de criptomonedas sobre una nueva forma de estafa de phishing que involucra la infraestructura de Google. En una publicación en X, Johnson explicó cómo los estafadores explotan una vulnerabilidad en la infraestructura de Google.

Según Johnson, los estafadores pueden enviar correos electrónicos válidos informando a los usuarios de que se ha entregado una citación a Google para que proporcionen información sobre su cuenta. Esta alerta de seguridad, que parece completamente real, solicita al usuario que proteste la citación o examine los documentos del caso.

Él dijo:

Lo primero que cabe destacar es que se trata de un correo electrónico válido y firmado; realmente fue enviado desde [email protected]Supera la verificación de firma DKIM y Gmail lo muestra sin ninguna advertencia; incluso lo incluye en la misma conversación que otras alertas de seguridad legítimas.

Una vez que los usuarios hacen clic en el enlace del correo electrónico, deben registrarse en la supuesta página de soporte. Sin embargo, la URL del portal de soporte es sites.google.com, una estrategia para engañar a los usuarios y hacerles creer que es genuina. Según Johnson, es probable que esta página de soporte falsa sea un sitio de phishing donde los estafadores obtienen lasdentde inicio de sesión de los usuarios.

El desarrollador de ENS señaló que es probable que la vulnerabilidad persista, especialmente porque Google se ha negado a actuar al respecto. Por lo tanto, es importante que los usuarios estén alerta y se protejan.

Estafadores que explotan Google Sites para crear páginas de soporte falsas

Mientras tanto, Johnson explicó cómo actores maliciosos crearon páginas falsas de soporte de Google que parecían reales. Según él, sites.google.com es un producto heredado del gigante tecnológico que permite a los usuarios alojar su contenido en el subdominio Google.com.

Señaló que el producto permite scripts e incrustaciones, que es la forma en que los estafadores pueden crear sitios de recolección dedenten el subdominio de Google y cargar otros nuevos cada vez que el equipo de Google elimina las versiones anteriores.

Johnson dijo:

“Google se dio cuenta hace tiempo de que alojar contenido público especificado por el usuario en google.com es una mala idea, pero Google Sites sigue vigente”

Sin embargo, señaló que la única solución a este problema es que Google deshabilite los scripts y las incrustaciones arbitrarias en sus sitios de Google, ya que esto convierte al producto en una poderosa herramienta de phishing para los estafadores.

Informe de errores a Google

Curiosamente, los estafadores generan el correo electrónico falso de alerta de seguridad aprovechando un error de Gmail. En su análisis del correo electrónico, Johnson señaló pistas como el encabezado que indica que fue enviado por "privateemail.com", el destinatario "me@blah" y el espacio en blanco debajo del mensaje de phishing.

Según él, los estafadores crearon una cuenta de Google para Yo@dominio. Después, crearon una aplicación OAuth de Google usando el texto del correo electrónico de phishing, espacios en blanco y "Asistencia Legal de Google" como nombre de la aplicación.

Una vez hecho esto, otorgaron a la aplicación OAuth acceso a su cuenta de Google "me@…", lo que les permitió generar el mensaje de alerta de seguridad de Google a la dirección de correo electrónico "me@email". Reenviaron esta alerta de seguridad a todos los posibles objetivos.

Dado que Google generó el correo electrónico de alerta de seguridad original, estaba firmado con una clave DKIM válida, omitió todos los controles de seguridad y apareció como un mensaje legítimo en la bandeja de entrada del usuario.

Sin embargo, Johnson afirmó haber enviado un informe sobre el error a Google, pero el gigante tecnológico decidió no abordarlo. En cambio, el equipo de seguridad de Google cerró el informe, señalando que la función "funciona según lo previsto", lo que significa que no lo consideraron un error.

Mientras tanto, el informe sobre estafadores de phishing que explotan las vulnerabilidades de Google para robar información de los usuarios pone de relieve las múltiples amenazas que enfrentan los usuarios de criptomonedas. Hace tan solo unos días, expertos en seguridad afirmaron que los hackers utilizan el malware InfoStealers para robardentde los usuarios de los navegadores.