Gli attaccanti sfruttano le sottoscrizioni del calendario per attacchi di phishing e altre attività dannose
Gli attori delle minacce sono stati trovati a manipolare l’infrastruttura delle sottoscrizioni ai calendari digitali per distribuire contenuti dannosi.
Le sottoscrizioni a serie di calendari consentono a terze parti di aggiungere eventi e di condividere notifiche direttamente sui dispositivi. Ad esempio, rivenditori che condividono le date dei saldi o associazioni sportive che aggiornano i calendari delle partite.
Tuttavia, poiché queste sottoscrizioni permettono a server di terze parti di aggiungere eventi direttamente, gli attori delle minacce sono stati trovati a creare infrastrutture ingannevoli per indurre gli utenti a iscriversi alle notifiche, secondo una nuova ricerca di BitSight.
Le sottoscrizioni malevole ai calendari sono spesso ospitate su domini scaduti o compromessi, che possono essere sfruttati per campagne di ingegneria sociale su larga scala.
Una volta stabilita una sottoscrizione, possono inviare file calendario che possono contenere contenuti dannosi, come URL o allegati.
I rischi variano dal phishing, alla distribuzione di malware, all’esecuzione di JavaScript e ad attacchi innovativi che sfruttano tecnologie emergenti come gli assistenti AI.
La ricerca Sinkhole scopre 347 domini sospetti correlati ai calendari
BitSight ha iniziato la sua ricerca con un singolo dominio che è stato “sinkholed”, registrando 11.000 indirizzi IP unici al giorno.
Il “sinkholing” è una tecnica utilizzata nella ricerca sulla sicurezza informatica per reindirizzare il traffico dannoso lontano dalla sua destinazione a un ambiente controllato, il sinkhole.
Questa sinkhole iniziale era associata a un dominio che funzionava come server per un calendario sottoscritto che distribuiva eventi per le vacanze pubbliche e scolastiche tedesche.
«Questo ha attirato la nostra attenzione. Perché un dominio per le vacanze in Germania, con file .ics, dovrebbe essere disponibile?» hanno scritto i ricercatori di BitSight. L’indagine si è quindi ampliata, scoprendo altri 347 domini (relativi agli eventi FIFA 2018, al calendario islamico Hijri, ecc.).
In totale, questi 347 domini sono stati contattati da circa quattro milioni di indirizzi IP unici al giorno, con la concentrazione geografica più alta negli Stati Uniti.
Il team di BitSight ha identificato due tipi di richieste di sincronizzazione nella sinkhole, suggerendo fortemente che queste non fossero nuove sottoscrizioni, ma richieste di sincronizzazione di calendari già sottoscritti in passato.
«Questo significa che chiunque avesse preso il controllo o registrato un dominio scaduto sarebbe stato in grado di rispondere con file calendario .ics personalizzati e creare ulteriori eventi su questi dispositivi», hanno scritto i ricercatori.
Le sottoscrizioni ai calendari sono un punto cieco della sicurezza
La società di sicurezza informatica ha dichiarato che la ricerca non rivela una vulnerabilità nei servizi Google Calendar o iCalendar; i rischi di sicurezza derivano dalle sottoscrizioni di terze parti ai calendari.
Si sottolinea che fornitori come Apple e Google hanno fatto significativi progressi nel rafforzare la sicurezza dei loro ecosistemi. Tuttavia, BitSight evidenzia che le sue scoperte mostrano aree in cui rischi emergenti, come l’abuso dei calendari, potrebbero non essere ancora pienamente gestite, nonostante solidi livelli di sicurezza in altre aree.
«Consapevolezza e difese sulle sottoscrizioni ai calendari dovrebbero essere più solide, specialmente se paragonate alle soluzioni email, ben monitorate e protette. L’attuale squilibrio crea un pericoloso punto cieco nella sicurezza personale e aziendale», conclude il rapporto.
Fonte (https://www.infosecurity-magazine.com/news/threat-actors-exploit-calendar-subs/)
