新手段!网络犯罪分子利用Google Docs 漏洞传播网络钓鱼链接 – 作者:中科天齐软件安全中心

随着网络安全防护手段的提高，网络犯罪分子的攻击手法也在不断更新。目前他们采用一种新的网络钓鱼攻击，这种攻击方式利用谷歌Drive和Docs来绕过网络安全防护检测。

IT安全研究人员发布的一份报告显示，网络威胁分子正在利用谷歌Docs进行一场新的钓鱼活动。

钓鱼攻击方式

研究人员解释了攻击者是如何编写一个类似谷歌文档共享页面的网页，并将其上传到Google Drive上。Google Drive会扫描该文件并自动呈现HTML。然后，通过Google Docs打开该文件，攻击者将获得带有渲染图像的最高版本。

然后将生成的链接附加到电子邮件并发送给受害者，要求他们下载文档。一旦单击该链接，他们将被重定向到真正的恶意钓鱼网站，在那里他们的证书将通过另一个看起来像 Google登录门户的网页被盗。

提醒大家最好不要打开任何与你共享的Google Docs链接，以防进入某个假装是谷歌文档的第三方。

网络安全研究人员称，攻击者通过在公开的服务中进行攻击来绕过静态链接扫描程序。过去曾在MailGun、FlipSnack和Movable Ink等小型服务上看到过这种情况，但这是第一次通过谷歌Drive/Docs等大型服务看到这种情况。Google Docs以这种方式被网络攻击者使用得非常巧妙，攻击者最终很有可能绕过许多传统安全防护产品使用的静态链接扫描程序。

至于Google Drive，这不是该服务第一次被恶意滥用。此前，恶意软件和钓鱼工具如DarkHydrus也通过谷歌Drive进行传播。

导致数据泄露、网络攻击或危害公共关键设施的系统漏洞不仅造成的代价是高昂的，而且很有可能导致公司未来的终结。因此软件及其背后开发过程的完整性和安全性已成为每个企业成功的关键组成部分，这也是为什么越来越提倡DevsecOps。

在DevsecOps开发流程中，通过自动化应用程序安全测试，可以相对轻松地通过经济又省心的方式发现许多已知漏洞和潜在的安全缺陷。应用程序安全测试包括如静态代码安全检测 (SAST)、动态应用程序安全测试 (DAST)、开源代码测试(SCA)、交互式应用程序安全测试 (IAST) 和运行时应用程序自我保护 (RASP)。

研究表明，每1000行开源软件代码就有14个安全缺陷，每1400行开源软件代码中就有1个高危安全缺陷。由此可见，经常被使用的开源代码若不进行安全检测就直接被引用到开发中，将为系统带来很大的安全隐患。根据Coralogix的说法，一个普通开发人员每1,000行代码会产生70个错误，而修复一个错误所需的时间是编写一行代码的30倍，静态代码安全检测的重要性不言而喻。

随着安全左移，在软件开发全周期中及时引入自动化应用程序安全检测工具，并通过安全检测工具中识别出安全漏洞进行及时修正，不仅可以帮助企业确定开发团队修复工作流程的优先级，助力敏捷开发，同时也能进一步降低企业、客户和合作伙伴的应用程序风险。

参读链接：

https://www.woocoom.com/b021.html?id=76b461a5987c4277a5f731cce96bf263

https://www.hackread.com/threat-actors-google-docs-exploit-phishing-links/

来源：freebuf.com 2021-06-22 10:41:43 by: 中科天齐软件安全中心