شرکت‌های امنیتی Check Point و Sublime Security نسبت به افزایش چشمگیر حملاتی که از دعوت‌نامه‌های مخرب تقویم (Calendar invites) برای هدف قرار دادن کاربران استفاده می‌کنند، هشدار داده‌اند.
آمار و ارقام تکان‌دهنده
طبق گزارش Sublime، در ماه اوت شاهد افزایش ۱,۲۱۶ درصدی در این نوع حملات بودیم و در نیمه اول سپتامبر، میزان حملات از کل ماه اوت نیز ۱,۴۲۶ درصد فراتر رفت. Check Point نیز آماری مشابه را منتشر کرده است؛ به طوری که حجم این ایمیل‌ها از چند هزار مورد در ماه آوریل، به بیش از ۷۴۰,۰۰۰ مورد در دو هفته اول اکتبر رسیده است.
تکنیک‌های مورد استفاده
- استفاده از فایل‌های .ics: مهاجمان از فایل‌های استاندارد تقویم استفاده می‌کنند. از آنجایی که این فایل‌ها داده‌های معتبری هستند، حمله بدون نیاز به اکسپلویت (Exploit) نرم‌افزاری و صرفاً با سوءاستفاده از اعتماد کاربر انجام می‌شود.
- سرقت اعتبارنامه‌ها (Credential Harvesting): برخی ایمیل‌ها حاوی لینک‌هایی هستند که کاربر را به صفحات جعلی مایکروسافت هدایت می‌کنند تا اطلاعات ورود او را سرقت کنند.
- استفاده از ابزارهای مدیریت از راه دور (RMM): در برخی موارد، کاربران با کلیک بر روی لینک‌ها، یک فایل نصب ScreenConnect را دریافت می‌کنند که به یک کانال فرماندهی و کنترل (C2) برای مهاجم تبدیل می‌شود.
شکاف امنیتی بین پروتکل‌ها
یکی از چالش‌های اصلی این است که ایمیل و تقویم از پروتکل‌های متفاوتی استفاده می‌کنند. این یعنی حتی اگر راهکار امنیتی ایمیل، پیام فیشینگ را شناسایی و قرنطینه (Quarantine) کند، دعوت‌نامه همچنان در تقویم هدف ظاهر می‌شود. این موضوع باعث می‌شود کاربر با دیدن یک دعوت‌نامه در تقویم، بدون درک بافت (Context) آن، بر روی لینک‌های مخرب کلیک کند.
توصیه‌های امنیتی
تیم‌های امنیتی باید اطمینان حاصل کنند که راهکارهای امنیتی ایمیل، علاوه بر صندوق ورودی (Inbox)، تقویم‌ها را نیز پوشش می‌دهند و با حذف یک ایمیل مخرب، رویداد (Event) مرتبط با آن در تقویم نیز حذف می‌شود. همچنین، کاربران باید نسبت به دعوت‌نامه‌های غیرمنتظره از فرستندگان ناشناس، درخواست‌های فوری مالی و لینک‌های مربوط به سایت‌سازهای رایگان بسیار هوشیار باشند.
