Google cảnh báo các chiến dịch phishing Nga lạm dụng OAuth
"Google reported three ongoing suspected Russian cyber-espionage campaigns targeting academia, aerospace, defense, government, and think tanks in Europe and the US. The groups abused OAuth and device-code authentication flows, along with phishing and malware delivery, to gain access to email and other accounts; no CVE was mentioned, and the primary mitigation is user awareness and recognition of malicious login or verification-code requests."
Rủi ro chiếm quyền tài khoản và đánh cắp thư từ tăng lên do lạm dụng OAuth và device-code flows; một số chiến dịch còn có malware đi kèm.
Có thể ảnh hưởng đến tài khoản email, trao đổi nội bộ và dữ liệu nhạy cảm của các đơn vị nghiên cứu, chính phủ và quốc phòng; tác động vận hành chủ yếu đến người dùng mục tiêu.
Google cho biết đang theo dõi 3 nhóm nghi ngờ liên quan đến Nga, nhắm vào học thuật, hàng không vũ trụ, quốc phòng, cơ quan chính phủ và think tank tại châu Âu và Mỹ. Các chiến dịch này đã diễn ra từ ít nhất năm ngoái và vẫn đang tiếp diễn, với quy mô nhỏ nhưng có mục tiêu rõ ràng: mỗi chiến dịch có dưới 100 mục tiêu và dưới 10 nạn nhân.
Điểm đáng chú ý là các tác nhân đã kết hợp phishing với việc lạm dụng OAuth và device-code authentication flows để khiến yêu cầu đăng nhập trông hợp lệ hơn. Một số chiến dịch giả mạo State Department, lời mời họp, sự kiện ngoại giao hoặc hội nghị; sau khi nạn nhân đăng nhập hợp lệ vào dịch vụ bên ngoài, họ bị yêu cầu cung cấp verification code hoặc URL đầy đủ, từ đó vô tình cấp quyền truy cập tài khoản.
Google cũng ghi nhận việc phát tán malware trong một số chiến dịch, bao gồm công cụ đánh cắp thông tin và keylogger. Không có CVE nào được nêu trong báo cáo này.
Khuyến nghị chính là tăng cường nhận diện email và trang đăng nhập giả mạo, kiểm tra kỹ các yêu cầu mã xác minh, và cảnh giác với lời mời bất thường liên quan đến email, OAuth hoặc thiết bị đăng nhập. Các tổ chức nên nhắc người dùng không chia sẻ mã xác minh và xác thực lại kênh liên hệ trước khi phản hồi.