Google漏洞使针对加密用户的逼真网络钓鱼攻击成为可能

Ethereum Name Service (ENS) 首席开发者 Nick Johnson 已警告加密用户注意一种涉及Google基础设施的新型网络钓鱼骗局。Johnson在X（原Twitter）上的一篇帖子中解释了骗子如何利用Google基础设施中的漏洞。

根据Johnson的说法，骗子可以发送有效邮件，告知用户已向Google发出传票，要求其交出Google账户信息。这封看起来完全真实的网络安全警报要求用户抗议传票或检查案件材料。

他说道：

“首先要注意的是，这是一封有效的、已签名的电子邮件——它确实是从 [email protected] 发送的。它通过了DKIM签名检查，GMail显示它时没有任何警告——甚至将其与其他合法的安全警报放在同一个对话中。”

一旦用户点击邮件中的链接，他们必须签署所谓的支持页面。然而，支持门户的URL是 sites.google.com，这是一种欺骗用户认为其真实的伎俩。根据Johnson的说法，这个虚假的支持页面很可能是一个网络钓鱼网站，骗子在此窃取用户的登录凭据。

ENS开发者指出，该漏洞可能会一直存在，特别是因为Google拒绝采取行动。因此，用户必须保持警惕并保护自己。

骗子利用Google Sites创建虚假支持页面

与此同时，Johnson解释了不法分子如何创建看起来真实的虚假Google支持页面。据他介绍，sites.google.com 是这家科技巨头的遗留产品，允许用户在Google.com子域上托管其内容。

他指出，该产品允许脚本和嵌入，这就是骗子能够在Google子域上构建凭据窃取网站，并在Google团队移除旧版本时上传新版本的原因。

Johnson说：

“Google很久以前就意识到在google.com上托管公开的用户指定内容是一个坏主意，但Google Sites仍然存在。”

然而，他指出，解决这个问题的唯一方法是Google禁用其Google Sites的脚本和任意嵌入，因为这使该产品成为骗子强大的网络钓鱼工具。

向Google提交的漏洞报告

有趣的是，骗子正在利用Gmail中的一个漏洞生成虚假的安全警报邮件。在分析这封邮件时，Johnson指出了线索，例如邮件头显示它是由“privateemail.com”发送的，收件人是“me@blah”，以及网络钓鱼消息下方的空白区域。

据他介绍，骗子通过创建一个Me@domain的Google账户来做到这一点。之后，他们使用网络钓鱼邮件中的文本、空白区域和“Google Legal Support”作为应用程序名称，创建了一个Google OAuth应用程序。

完成这些操作后，他们授予OAuth应用程序访问其“me@…”Google账户的权限，从而能够从Google生成安全警报消息并发送给me@email。他们将此安全警报转发给所有潜在目标。

由于Google生成了原始安全警报邮件，它使用有效的DKIM密钥签名，绕过了所有安全检查，并在用户的收件箱中显示为合法消息。

然而，Johnson表示，他向Google提交了关于该漏洞的报告，但这家科技巨头决定不予处理。相反，Google安全团队关闭了该报告，指出该功能是“按预期工作”，这意味着他们不认为这是一个漏洞。

与此同时，关于网络钓鱼骗子利用Google漏洞窃取用户信息的报道突显了加密用户面临的多种威胁。就在几天前，安全专家声称黑客正使用InfoStealers恶意软件从浏览器中窃取用户凭据。