Los actores de amenazas utilizan cada vez más URL cifradas para eludir el correo electrónico seguro

Las puertas de enlace de correo electrónico seguras (SEG) contribuyen en gran medida a proteger a las empresas contra malware, spam y correos electrónicos de phishing. Sin embargo, para algunos actores de amenazas también son una forma atractiva de pasar de contrabando correos electrónicos maliciosos a través de otros SEG.

Investigadores de seguridad de Cofense informaron de la observación esta semana. un reciente aumento de los ataques, donde los actores de amenazas han utilizado SEG para cifrar o reescribir URL maliciosas incrustadas en sus correos electrónicos para víctimas potenciales. En muchos casos, los SEG permitieron que las URL maliciosas pasaran cuando los correos electrónicos llegaban a su destino sin validar adecuadamente el enlace.

La amenaza SEG versus SEG

La razón de esto, dice Max Gannon, gerente de inteligencia de amenazas de Cofense, es que algunos productos de puerta de enlace de correo electrónico seguro no parecen manejar adecuadamente las URL codificadas en SEG, asumiendo que siempre son seguras cuando en realidad no lo son.

«No tenemos acceso a los componentes internos de los SEG, por lo que no puedo asegurarlo», afirma Gannon. «Pero probablemente confíen implícitamente en las URL o intenten escanearlas, pero el dominio del SEG que codifica la URL es confiable, por lo que [receiving] SEG asume que la URL en sí es legítima”.

Con el cifrado SEG, un producto de puerta de enlace de correo electrónico seguro esencialmente reescribe cada URL de un correo electrónico saliente en un enlace que apunta a su propia infraestructura. Cuando un destinatario hace clic en el enlace cifrado, primero se redirige al usuario al sistema SEG del remitente, que comprueba si la URL es segura antes de redirigir al usuario al destino previsto. Las comprobaciones suelen incluir la evaluación de la URL en función de la reputación, listas negras, firmas y otros mecanismos, lo que significa A veces un SEG puede durar días o incluso semanas antes de clasificar una URL como maliciosa.

En estas situaciones Pueden surgir problemas si la tecnología de puerta de enlace de correo electrónico segura del destinatario no reconoce una URL ya codificada como digna de ser escaneada, o si el SEG del destinatario escanea la URL pero solo ve el dominio de la puerta de enlace de correo electrónico de envío y no el destino final.

«Cuando los SEG detectan URL en correos electrónicos que ya están codificados en SEG, a menudo no los escanean, o el escaneo solo muestra la página de escaneo de la herramienta de seguridad y no el destino real», escribió Cofense en su informe esta semana. «Como resultado, si un correo electrónico ya contiene URL codificadas en SEG, el SEG del destinatario a menudo dejará pasar el correo electrónico sin verificar adecuadamente las URL incrustadas».

Un aumento significativo

Los atacantes han abusado previamente del cifrado SEG para inyectar correos electrónicos maliciosos en los entornos de destino. Pero en el segundo trimestre de este año, particularmente en mayo, el uso de esta táctica aumentó significativamente, dijo Cofense.

Según el proveedor de seguridad, VIPRE Email Security, Bitdefender LinkScan, Hornet Security Advanced Threat Protection URL Rewriting y Barracuda Email Gateway Defense Link Protection son las cuatro puertas de enlace de seguridad de correo electrónico de las que más comúnmente abusan los actores de amenazas para cifrar las URL y enviarlas para pasar el correo electrónico. Mecanismos de defensa.

Cofense dijo que sus investigadores han observado que los atacantes utilizan estos SEG para codificar URL maliciosas en campañas con diferentes temas. Estos usuarios objetivo están protegidos por SEG de varios proveedores.

Gannon dice que algunas codificaciones SEG requerirían que el actor de la amenaza ejecutara su URL a través del SEG. «Con otras codificaciones como Barracuda Link Protect, simplemente puede anteponer su URL a la URL maliciosa que desea evitar», dice. “Por ejemplo, para utilizar Barracuda Link Protect para omitir SEG con URL hxxp,[:]//Mal lugar[.]com/, simplemente agregaría la URL Barracuda Link Protect y la crearía así: hxxps://linkprotect[.]Suscribirse a[.]es/url?a=hxxp[:]//Mal lugar[.]es/.»

Gannon dice que una de las razones por las que es poco probable que los actores de amenazas utilicen esta táctica a mayor escala es que implica una carga de trabajo adicional. «El factor más importante que importa es el esfuerzo», afirma. Si a un actor de amenazas le toma una hora cifrar todas las URL de una campaña y llegar a 500 buzones de correo más, podría encontrar fácilmente otras 1000 direcciones de correo electrónico a las que enviar la campaña en esa misma hora”.

Protegerse contra esta táctica puede ser relativamente difícil porque la mayoría de los SEG no tienen métodos de ajuste para ignorar otras codificaciones SEG, afirma Gannon. Por tanto, el mejor método para combatir esta táctica sigue siendo la sensibilización y la formación de los usuarios. «Un empleado alerta e informado no hará clic en un enlace de un correo electrónico sospechoso, incluso si la URL está codificada por un SEG».