Перейти к содержанию

Фишинг учетных данных к ESP-провайдеру через ESP-провайдера

KL FC Bot
 Поделиться

Рекомендуемые сообщения

KL FC Bot

KL FC Bot

Опубликовано
Опубликовано

Базы электронных адресов, по которым компании рассылают письма своим клиентам, всегда были интересной добычей для злоумышленников. Их могут использовать и для спам-рассылок, и для фишинга, и для более сложных мошеннических схем. Если в придачу к базам атакующему удается получить доступ к легитимному инструменту для организации рассылки, то это значительно повышает шансы на успех любой атаки. Ведь люди, давшие согласие на получение писем и привыкшие потреблять информацию именно таким способом, с большей вероятностью откроют привычную рассылку от компании, чем какое-то постороннее послание. Поэтому злоумышленники периодически пытаются захватить доступ к личным кабинетам компаний в сервисах ESP-провайдеров. В очередной выявленной нами фишинговой кампании они усовершенствовали свой метод и охотятся на учетные данные на сайте ESP-провайдера SendGrid, рассылая фишинговые письма непосредственно через сам SendGrid.

Почему в данном случае фишинг через SendGrid более успешен?

Среди советов, которые мы обычно даем в постах про фишинг, мы чаще всего рекомендуем внимательно смотреть на домен сайта, куда вас пытаются послать при помощи кнопки или текстовой гиперссылки. ESP-провайдеры, как правило, не позволяют вставить в письмо прямую ссылку на сайт клиента, а служат своего рода посредником — получатель письма видит внутри ссылки домен ESP-провайдера, который далее редиректит кликнувшего уже на сайт, заданный при настройке кампании по рассылке. Это делается в том числе для корректного сбора аналитики.

В данном случае текст фишингового письма написан от имени ESP-провайдера SendGrid, который якобы очень беспокоится о безопасности своих клиентов и убеждает их включить двухфакторную аутентификацию, чтобы контроль над личным кабинетом не захватили посторонние. В письме объясняются преимущества метода 2FA и дана ссылка для обновления настроек безопасности. И ведет она, как вы, вероятно, уже догадались, на какой-то адрес в домене SendGrid (где, вероятно, должен был бы располагаться сайт с настройками, если бы это письмо действительно рассылала компания SendGrid).

При этом для всех почтовых сканеров данное фишинговое письмо выглядит как абсолютно легитимная рассылка, идущая с серверов SendGrid с корректными ссылками, ведущими на домен SendGrid. Единственное, что может насторожить получателя такого письма, — адрес отправителя. Дело в том, что ESP-провайдеры подставляют туда домен реального заказчика и идентификатор рассылки. Чаще всего для фишинга используется угнанная учетная запись (новых клиентов ESP-провайдеры проверяют более тщательно, а старые, сделавшие уже не одну рассылку, имеют накопленную репутацию надежных).

Письмо якобы от SendGrid

Письмо от имени SendGrid, присланное через SendGrid, для фишинга учетной записи для сервиса SendGrid

 

Посмотреть статью полностью

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • KL FC Bot
      AMOS и Amatera вместо ИИ-агентов | Блог Касперского
      Автор KL FC Bot
      Недавно мы рассказывали о том, как злоумышленники распространяют инфостилер AMOS под macOS при помощи рекламы в Google, используя при этом чат c ИИ-ассистентом на настоящем сайте OpenAI для размещения вредоносной инструкции. Мы решили чуть глубже исследовать эту тему и обнаружили несколько схожих вредоносных кампаний, в которых атакующие пытаются подсунуть пользователям зловредов под видом популярных ИИ-инструментов через рекламу в поисковике Google. Если жертвы ищут инструменты под macOS, то в качестве вредоносной нагрузки выступает тот же AMOS, а если под Windows — инфостилер Amatera. Как приманку в этих кампаниях используют популярный китайский ИИ Doubao, нашумевшего ИИ-ассистента OpenClaw или помощника для написания программного кода Claude Code. А это значит, что подобные кампании несут угрозу не только для домашнего пользователя, но и для организаций.
      Дело в том, что ассистента для кодинга Claude Code, как и агента для автоматизации рабочих задач OpenClaw достаточно часто используют сотрудники компаний. Это несет свои риски, поэтому далеко не все организации официально одобряют (и закупают) доступ к таким инструментам. Поэтому некоторые сотрудники пытаются найти модные инструменты самостоятельно и первым делом идут на сайт google, где вводят поисковый запрос. А в ответ получают проплаченную рекламную ссылку на вредоносную инструкцию. Как происходит атака — расскажем подробнее на примере обнаруженной в начале марта кампании по распространению Claude Code.
      Поисковой запрос
      Итак, пользователь начинает искать, откуда можно было бы загрузить агента от Anthropic, и вводит в строку поиска, например, Claude Code download. Поисковая система выдает список ссылок, в верхней части которого располагаются «спонсированные ссылки», то есть платные рекламные предложения. Одно из таких предложений ведет пользователя на вредоносную страницу с фейковой документацией (причем сам сайт собран на публичном легитимном сервисе Squarespace, что позволяет обходить антифишинговые фильтры).
      Выдача поисковиков с рекламными объявлениями в Румынии и Бразилии
       
      View the full article
    • KL FC Bot
      Троянское ПО BeatBanker и BTMOB — способы проникновения в смартфон и методы защиты | Блог Касперского
      Автор KL FC Bot
      Разработчики вредоносных программ для Android должны последовательно решить несколько проблем: обмануть пользователя и проникнуть в смартфон, уберечься от защитного ПО, уговорить жертву дать им различные системные разрешения, защититься от штатных оптимизаторов батареи, убивающих лишние приложения, а после всего этого еще и сделать что-то прибыльное для своих хозяев. Авторы недавно обнаруженной нашими экспертами кампании, получившей название BeatBanker, придумали нечто новое на каждом из этих шагов. Атака (пока) нацелена на бразильских пользователей, но амбиции разработчиков наверняка подтолкнут их к международной экспансии, поэтому стоит оставаться настороже и изучить трюки злоумышленников. Полный технический анализ кампании вы можете найти на Securelist.
      Как BeatBanker проникает в смартфон
      Зловред распространяют через специально созданные фишинговые страницы, имитирующие магазин Google Play. На странице, трудноотличимой от страницы официального магазина, можно скачать полезное на вид приложение. В одной кампании троян маскировался под официальное приложение для получения госуслуг в Бразилии, INSS Reembolso, в другой — под приложение Starlink.
      Вредоносный сайт cupomgratisfood{.}shop имитирует магазин приложений. Непонятно только, почему поддельный INSS Reembolso присутствует аж трижды — чтобы наверняка?
       
      View the full article
    • KL FC Bot
      Приложения для «здоровой психики» сливают конфиденциальную информацию о том, что происходит в голове у их владельцев. Как защититься? | Блог Касперского
      Автор KL FC Bot
      В феврале 2026 года компания Oversecured опубликовала отчет, после которого хочется стереть все с телефона и уйти в лес. Исследователи проверили десять популярных Android-приложений для психического здоровья — трекеры настроения, ИИ-терапевты, инструменты для борьбы с депрессией и тревожностью — и нашли в них 1575 уязвимостей. Пятьдесят четыре из них оказались критическими. При этом, судя по количеству установок из Google Play, суммарно этими приложениями может пользоваться до 15 миллионов человек. Но самое неприятное — шесть из десяти проверенных приложений клятвенно обещали, что данные пользователей зашифрованы и надежно защищены.
      Разбираемся в скандальной «утечке мозгов»: что именно может утечь, как именно это происходит и почему «анонимность» в таких сервисах — чаще всего маркетинговый миф.
      Что нашли в приложениях
      Oversecured — компания, которая занимается безопасностью мобильных приложений. Ее сканер проверяет APK-файлы на известные паттерны уязвимостей по десяткам категорий. В январе 2026 года исследователи прогнали через сканер десять приложений для контроля психического здоровья из Google Play — и получили впечатляющую картину.
      Тип приложения Всего установок Уязвимости по степени риска Высокий Средний Низкий Всего Трекер настроения и привычек 10+ млн 1 147 189 337 Чат-бот для психотерапии с использованием ИИ 1+ млн 23 63 169 255 Платформа для эмоционального здоровья с использованием ИИ 1+ млн 13 124 78 215 Трекер самочувствия 500+ тыс. 7 31 173 211 Приложение для мониторинга депрессии 100+ тыс. 0 66 91 157 Приложение контроля тревожности на основе когнитивно-поведенческой терапии (КПТ) 500+ тыс. 3 45 62 110 Приложение онлайн-сообщества для психотерапии 1+ млн 7 20 71 98 Приложение самопомощи при тревожности и фобиях 50+ тыс. 0 15 54 69 Приложение для управления стрессом в армии 50+ тыс. 0 12 50 62 Чат-бот для когнитивно-поведенческой терапии (КПТ) с использованием ИИ 500+ тыс. 0 15 46 61 Всего 14,7+ млн 54 538 983 1575 Таблица уязвимостей в десяти протестированных приложениях для контроля психического здоровья. Источник
       
      View the full article
    • KL FC Bot
      Что такое атака «Браузер в браузере» и как распознать поддельное окно входа | Блог Касперского
      Автор KL FC Bot
      В 2022 году в нашем блоге мы подробно описали метод атаки под названием «Браузер в браузере» (browser-in-the-browser), разработанный исследователем кибербезопасности под ником mr.d0x. Тогда примеров реализации этой модели «в дикой природе» не было. Однако четыре года спустя атаки «браузер в браузере» перестали быть теорией — злоумышленники уже активно используют их на практике. В этом посте еще раз разберем, что собой представляет атака browser-in-the-browser, покажем, как злоумышленники ее применяют, и, главное, объясним, как не стать жертвой.
      Что такое атака «Браузер в браузере» (browser-in-the-browser, BitB)
      Для начала давайте вспомним, что же придумал mr.d0x. Сама идея атаки основывалась на его наблюдении продвинутости современных средств построения веб-страниц — HTML, CSS, JavaScript и других. Собственно, это наблюдение натолкнуло исследователя на идею создания замысловатой модели фишинга.
      Атака «Браузер в браузере» — это разновидность фишинга, которая предполагает правдоподобную подделку окна входа с использованием известных сервисов — Microsoft, Google, Facebook* или Apple — на мошеннических сайтах посредством веб-дизайна. По задумке исследователя злоумышленник создает правдоподобно выглядящий сайт, на который заманивает своих жертв. При этом действия — оставлять комментарии, совершать покупки и так далее — на ресурсе могут совершать только авторизованные пользователи.
      Авторизоваться на сайте совершенно не сложно — достаточно нажать на кнопку «Войти с помощью {название популярного сервиса}». Вот тут и начинается самое интересное: после нажатия кнопки перед пользователем вместо настоящей страницы аутентификации в легитимном сервисе появляется нарисованная внутри мошеннического сайта форма, которая выглядит как… всплывающее окно браузера. При этом в адресной строке этого всплывающего окна — также нарисованной злоумышленниками — отображается совершенно легитимный адрес, и даже внимательное его изучение не позволит распознать подвох.
      Дальше доверчивый пользователь вводит в нарисованное окно свои учетные данные от того сервиса, с помощью которого он хотел аутентифицироваться, — Microsoft, Google, Facebook* или Apple, — и они, в свою очередь, отправляются прямиком к преступнику. Некоторое время подобная схема оставалась только теоретическим экспериментом исследователя кибербезопасности. Однако теперь ее на вооружение взяли настоящие преступники.
       
      View the full article
    • KL FC Bot
      Уязвимость CVE-2026-3102 при обработке изображений в ExifTool на macOS | Блог Касперского
      Автор KL FC Bot
      Можно ли заразить компьютер вредоносным ПО, просто обрабатывая фотографии? Особенно если это «Мак», который многие до сих пор считают устойчивым к зловредам? Как выясняется, можно — если пользоваться уязвимой версией приложения ExifTool или многочисленных приложений на его основе. Это популярнейшее решение с открытым исходным кодом (open source) для чтения, редактирования и записи метаданных в изображениях используется фотографами и специалистами фотоархивов, применяется в аналитике, криминалистических экспертизах и журналистских расследованиях.
      Наши эксперты GReAT обнаружили в нем уязвимость CVE-2026-3102, которая проявляется при обработке вредоносного файла изображения (например, PNG), содержащего в метаданных команды оболочки. При обработке такого файла с помощью ExifTool на macOS команда срабатывает, и на компьютере выполняются действия, задуманные злоумышленником, — например, загрузка и запуск вредоносного ПО с внешнего сервера. Мы расскажем, как это возможно, порекомендуем способы защиты и объясним, как проверить свой компьютер на уязвимость.
      Что такое ExifTool
      Бесплатное приложение с открытым исходным кодом ExifTool решает узкую, но важную задачу. Оно извлекает из файлов метаданные и позволяет обрабатывать эти данные и сами файлы. Метаданные — это сопроводительная информация, зашитая в большинстве современных форматов файлов. Например, у музыкального трека метаданными будут имя исполнителя и название песни, жанр, год выпуска, фото обложки альбома. Для фотографий метаданные — это дата, время и географические координаты съемки, использованные настройки светочувствительности и затвора, модель и производитель камеры. У офисных документов в метаданных хранятся имя автора, продолжительность редактирования, название и дата создания документа.
       
      View the full article
×
×
  • Создать...