Atores de ameaça estão abusando de serviços do Google para escapar de detecção, visando roubar credenciais e instalar ferramentas de acesso remoto como o ScreenConnect. Eles utilizam redirecionamentos múltiplos do Google para direcionar vítimas a sites de phishing.
Detalhes Técnicos
Os atores de ameaça estão usando serviços legítimos do Google para hospedar links de phishing, dificultando a detecção.
O objetivo é roubar credenciais ou instalar o ScreenConnect, uma ferramenta de administração remota que pode ser usada para movimentação lateral em ambientes de rede.
O ConnectWise (S0591) é uma ferramenta legítima de administração remota que tem sido usada por atores de ameaça como MuddyWater e GOLD SOUTHFIELD para conectar e realizar movimentação lateral em ambientes de rede alvo.
Próximos Passos
Verificar logs de tráfego de rede para detectar possíveis redirecionamentos suspeitos.
Implementar filtros de URL para bloquear acessos a sites de phishing.
Treinar usuários para identificar e-mails e links suspeitos.
Monitorar a instalação de ferramentas de acesso remoto não autorizadas.
