Los atacantes abusan de Google AppSheet, Netlify y Telegram en una campaña de phishing en Facebook

Una sofisticada operación cibercriminal denominada “AccountDumpling” ha comprometido aproximadamente 30.000 cuentas de Facebook en todo el mundo. Descubierta por Guardio Labs, esta campaña vinculada a Vietnam abusa de la plataforma AppSheet de Google para eludir los filtros de seguridad de correo electrónico tradicionales.

Phishing por correo electrónico (Fuente: Guard Labs) Dado que estos correos electrónicos se envían directamente desde los servidores de Google utilizando la dirección noreply@appsheet.com, pasan fácilmente las comprobaciones de autenticación SPF, DKIM y DMARC. Metodologías de ataque y evasión La operación es altamente modular y emplea cuatro grupos de phishing distintos para atacar a las víctimas en función de diferentes desencadenantes psicológicos. Tipo de clústerEstrategia de señueloPlataforma de alojamientoCaracterísticas técnicasInfracción de políticasAvisos falsos del Centro de ayuda de Facebook que amenazan con la inhabilitación permanente de la cuenta Netlify HTTrack artefactos de clonación, subdominios únicos para evadir listas de bloqueo, funciones sin servidor para la filtración de datos Promesa de recompensaInvitaciones para la verificación de la Insignia Azul o recompensas exclusivas para anunciantes Vercel Ocultación Unicode en preencabezados, barreras reCAPTCHA falsas, scripts de validación de credenciales en vivo En vivo ControlUrgent Meta avisos disfrazados como una notificación limpia de una sola imagen Google Drive (Canva PDF) Paneles de phishing en vivo basados en WebSocket que permiten interacción humana en tiempo real Ingeniería socialOfertas de trabajo de alto nivel falsas de destacadas empresas tecnológicas como Meta y Apple Canales de comunicación fuera de plataforma Homoglifos cirílicos en los nombres para mostrar del remitente, que giran hacia conversaciones en vivo para generar confianza poco a poco Detrás de los sofisticados señuelos frontales, se basa la operación AccountDumpling enteramente en los bots de Telegram por su exfiltración de comando y control. Phishing generado por Canva (Fuente: Guard Labs) Guardio Labs rastreó con éxito el núcleo de la operación hasta un actor de amenazas vietnamita a través de una falla crítica de seguridad operativa.

Campaña de phishing (Fuente: guardLabs) Un PDF generado por Canva utilizado en el tercer grupo de ataque conservó los metadatos de su autor, exponiendo el nombre real "PHẠM TÀI TÂN". La publicación Los atacantes abusan de Google AppSheet, Netlify y Telegram en la campaña de phishing de Facebook apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗