攻击技术绕过电子邮件过滤器并焕发了网络钓鱼链接的信誉
未能通过Box，Zoom和Google Docs验证所谓的“虚荣URL”中的子域，创造了一种强大的方法来增强其网络钓鱼安全研究人员透露，运动。
可以自定义虚荣URL，以包括品牌名称和链接目的的描述（例如，Brandname/registernow），通常将其重定向到更长的通用URL。
虚荣URL用于共享或请求文件，邀请用户注册事件等等，由软件-AS-AS-Service（SaaS）应用程序广泛使用，依此类推。
错误的安全感
框，Zoom和Google文档中发现的漏洞使攻击者能够滥用明显的保证虚荣心URL，为收件人提供了合法的收件人组织而不是网络犯罪分子。
来自Varonis威胁实验室的研究人员发现，SaaS应用程序验证了Vanity URL的URI（链接末尾的字符的独特顺序），而不是其描述性子域（在URI之前的部分）。
“结果，威胁参与者可以使用自己的SaaS帐户来生成指向恶意内容（文件，文件夹，着陆页，表格等）的链接，这些链接似乎是由您公司批准的SaaS帐户托管的。”Varonis威胁实验室发表的博客文章。
“实现这一目标就像更改链接中的子域一样容易。”
命中率
这攻击技术，如其中所示视频，将大大提高网络钓鱼的成功率或恶意软件根据Varonis CMO Rob Sobers的说法。
Sobers告诉SOBERS说：“这可能会产生巨大的不同，因为欺骗的链接似乎与电子邮件过滤器和CASBS（Cloud Access Security Broker）等安全技术合法。”每日swbeplay2018官网ig。
“他们通常会阻止伪造或拼写错误的URL（例如Apple-support.zoom.us）。在这种情况下，由于我们正在欺骗真正的URL，因此这些类型的技术无法自动过滤或标记为恶意的URL。”
SOBERS继续说：“此外，精明的用户通常可以在浏览器中加载假URL时会发现细微的差异 - 例如无效的安全证书或拼写错误的子域。由于这种滥用，URL和证书是完全有效的。”
Sobers警告说，由于包含相同缺陷的三个最广泛使用的SaaS应用程序，因此“其他SaaS应用程序中也存在类似的问题”。
讲故事的标志
Box是流行的云内容管理应用程序，修补了影响文件共享的虚荣URL和用于请求文件和相关信息的公共表格的缺陷。
The file-sharing issue was exacerbated by an attacker’s ability to add password protection to malicious files and upload a targeted brand’s logo and recreate its color scheme, while the absence of branding on public forms makes it harder for victims to spot tell-tale design flaws.
Zoom的发言人告诉每日swbeplay2018官网ig它已经解决了对录音URL的潜在滥用录音和网络研讨会注册页“如果用户被重定向到另一个子域”。beplay体育能用吗
但是，Varonis敦促用户“在访问品牌变焦链接时谨慎”，因为“用户经常单击非关键警告消息”。攻击者还可以为Google表单提供烙印，该表单要求使用目标公司的徽标作为YourCompanyDomain.docs.google.com/forms/forms/d/e/:form_id/viewform，请求敏感的机密数据。
Varonis说：“该表格可能需要通过您公司域中的电子邮件注册，这使其看起来更值得信赖。”
通过“发布到Web”功能交换的Google Doc文档同样脆弱。beplay体育能用吗
谷歌根据Varonis的说法，尚未推出修复程序。
