Cibercriminosos exploram infraestrutura da Google em ataque de phishing sofisticado

Um ataque de phishing particularmente engenhoso está a preocupar especialistas em cibersegurança, depois de cibercriminosos terem conseguido contornar os sistemas de verificação da Google para entregar emails fraudulentos aparentemente legítimos.

Através da exploração de uma vulnerabilidade no sistema, os atacantes enviaram mensagens que aparentavam ter origem no endereço “no-reply [@] google.com” e que passavam nas verificações de autenticação DomainKeys Identified Mail (DKIM), utilizadas para confirmar a legitimidade de emails. No entanto, o remetente real era outro, desconhecido das vítimas.

O ataque visava induzir os utilizadores a aceder a um falso “portal de suporte” da Google, alojado no domínio sites [.] google [.] com, solicitando as credenciais da conta Google das vítimas. O alojamento do portal num domínio pertencente à própria Google contribuiu para tornar o esquema mais credível e difícil de detetar.

Nick Johnson, developer do Ethereum Name Service, foi uma das vítimas visadas. Recebeu uma mensagem que alegadamente provinha da Google e que mencionava um pedido de acesso a dados por parte de uma autoridade policial. Contudo, ao investigar o link incluído no email, Johnson percebeu que se tratava de um site fraudulento, embora alojado nos próprios serviços da Google.

Segundo o developer, o objetivo do ataque era claramente o roubo de credenciais. Explica ainda que o método usado se baseia num chamado “ataque de repetição DKIM”. Neste tipo de ataque, o cibercriminoso regista um domínio próprio e cria uma conta Google com um endereço como me [@] domínio. Embora o domínio em si não seja determinante, pode ser escolhido de forma a parecer relacionado com infraestruturas legítimas.

De acordo com Johnson, a escolha do nome de utilizador “me” foi deliberada e inteligente, de forma a tornar a mensagem mais convincente. Para além disso, o atacante terá criado uma aplicação OAuth da Google para montar o esquema de phishing. Um dos truques utilizados consistia em incluir grandes espaços em branco no corpo do e-mail, dando a impressão de que a mensagem terminava antes da notificação da Google, que indicava o acesso ao endereço de e-mail associado ao atacante.