Bleeping Computer 网站披露，网络攻击者利用 Salesforce 电子邮件服务和 SMTP 服务器中的漏洞，针对一些特定的 Facebook 账户发起复杂的网络钓鱼活动。

据悉，网络攻击者利用 Salesforce 等具有良好信誉的电子邮件网关分发网络钓鱼电子邮件，此举有利于其规避安全电子邮件网关和过滤规则，确保恶意电子邮件能够到达目标收件箱。

前段时间，Guardio Labs 的分析师 Oleg Zaytsev 和 Nati Tal 发现漏洞问题，随后向 Salesforce 报告并帮助进行了漏洞修复，然而 Facebook 游戏平台上的漏洞问题仍悬而未决，Meta 的工程师们仍在努力寻找现有缓解措施不能有效阻止攻击的原因。

PhishForce 漏洞在攻击被滥用

Salesforce CRM 允许客户使用自定义域名作为自己的“品牌”发送电子邮件，但必须通过平台验证这些域名，这样就可以阻止客户通过 Salesforce 发送其无权冒充的其它品牌的电子邮件。然而不幸的是，Guardio Labs 称网络攻击者找到一种利用 Salesforce "Email-to-Case "功能的方法。

具体来说就是攻击者设置一个新的 “Email-to-Case ”流程，以获得对 Salesforce 生成的电子邮件地址的控制权，之后在 “salesforce.com ”域上创建一个新的入站电子邮件地址。

生成的 Salesforce 地址（Guardio Labs）

接下来，网络攻击者将该地址设置为 “组织范围内的电子邮件地址”，Salesforce 的 Mass Mailer Gateway将其用于出站电子邮件，并最终通过验证过程来确认该域的所有权。

点击验证链接确认所有权（Guardio Labs）

整个过程允许网络攻击者使用自有的 Salesforce 电子邮件地址向任何人发送信息，从而绕过 Salesforce 的验证保护以及任何其它电子邮件过滤器和反钓鱼系统。

事实上，这就是近期 Guardio Labs 在野外观察到的情况，据称来自 “Meta Platforms ”的网络钓鱼电子邮件使用了 “case.salesforce.com ”域名。

从真实攻击中提取的网络钓鱼电子邮件样本（Guardio Labs）

一旦受害者点击了嵌入式按钮后，便会进入一个作为 Facebook 游戏平台（"apps.facebook.com"）一部分托管和显示的网络钓鱼页面，这为攻击增加了更多合法性和说服力，使电子邮件收件人更难意识到欺诈行为。

托管在 Facebook 游戏平台上的网络钓鱼页面（Guardio Labs）

Guardio 指出此次网络攻击活动中使用的网络钓鱼工具包的目的是窃取 Facebook 帐户凭据，甚至还具有绕过双因素身份验证机制的特点。

观察到的攻击链（Guardio Labs）

Meta 正在积极调查网络攻击事件

2023 年 6 月 28 日，Guardio Labs 发现漏洞问题并报告给 Facebook ，一个月后，Guardio Labs 重现了该漏洞并解决了问题。对于“apps.facebook.com”的滥用，Guardio Labs 指出攻击者应该不可能创建用作登录页的游戏拉票。接到 Guardio Labs 的报告后，Meta 删除了违规页面，其工程师仍在调查现有保护措施未能阻止攻击的原因。

随着网络钓鱼行为者不断探索合法服务提供商的每一个潜在滥用机会，新的安全漏洞不断威胁着用户，使其面临严重风险。因此用户不能仅仅依赖电子邮件保护解决方案，还必须仔细检查收件箱中的每封邮件，查找不一致之处，并反复检查邮件中的所有声明。

文章来源：

https://www.bleepingcomputer.com/news/security/hackers-exploited-salesforce-zero-day-in-facebook-phishing-attack/#google_vignette