En Calendly-nätfiskeattack lurade Segments medgrundare Peter Reinhardt att ge en skadlig app åtkomst till sitt X-konto. Angriparna utgav sig för att vara en journalist från WIRED och placerade en begäran om behörighet mellan legitima bokningssidor för att göra tillvägagångssättet trovärdigt.
Falsk intervjuförfrågan ledde till en riktig bokningssida
Attacken började med en intervjuförfrågan om koldioxidavlägsnande från ett X-konto som utgav sig för att tillhöra WIRED-journalisten Simon Hill.
Avsändaren verkade trovärdig och meddelandet innehöll en äkta Calendly-bokningslänk. Reinhardt följde länken och kom till en legitim bokningssida.
Bokningsprocessen ledde honom dock vidare till en sida som angriparna kontrollerade och som använde WIRED:s varumärke. Sidan hävdade att han behövde ansluta sitt X-konto innan han kunde boka intervjun.
Skadlig app begärde åtkomst till direktmeddelanden
I stället för att visa ett falskt lösenordsformulär använde angriparna X:s legitima system för appauktorisering.
En app som hette CalendarBookings begärde tillstånd att läsa och skriva inlägg samt få åtkomst till direktmeddelanden. Efter att Reinhardt godkände dessa behörigheter fick appen kortvarigt åtkomst till hans konto.
Enligt rapporten varade det efterföljande kontoövertagandet bara i några minuter.
Attacken förlitade sig därför på samtycke snarare än lösenordsstöld. Reinhardts godkännande gav den skadliga applikationen den åtkomst som den begärde via en legitim behörighetsskärm.
Forskare kopplade fem nätfiskesajter till samma backend
Casco-säkerhetsingenjören Anthony Gibbs inledde en undersökning efter att Reinhardt delat information om incidenten.
Mellan den 9 och 11 september spårade Gibbs fem nätfiskesajter med olika publikationers varumärken till en gemensam backend som kallades Asteria. Hans resultat visade att kampanjen sträckte sig bortom ett enda mål.
Dessutom använde den angriparkontrollerade bokningssidan en Calendly-liknande domän med ett subtilt teckenbyte. Ett versalt ”I” ersatte ett gement ”l”, vilket gjorde adressen lätt att misstolka.
Under tester upptäckte Gibbs också att användaren hamnade på ett riktigt Calendly-evenemang efter att ha slutfört auktoriseringssteget.
Därmed förekom legitima Calendly-sidor både i början och slutet av processen. Angriparna placerade sin skadliga begäran mellan dessa välbekanta bokningssteg.
Kampanjen stängdes ner men operatörerna är fortfarande okända
Gibbs skickade rapporter om missbruk till domänregistratorer, Calendly, X och Google den 17 september. Enligt honom har kampanjen sedan dess gått offline.
Utredningen identifierade dock inte operatörerna eller fastställde hur många personer som föll offer.
Calendly-nätfiskeattacken visar hur kriminella kan kombinera legitima tjänster med en vilseledande begäran om kontobehörigheter. En äkta bokningssida eller behörighetsskärm innebär inte att applikationen som begär åtkomst är pålitlig.
0 svar till ”Calendly-nätfiskeattack använder falsk journalist för att kapa grundarens X-konto”