Estaba analizando un kit de phishing la semana pasada cuando noté algo en el HTML que no debería haber estado allí: un campo de formulario oculto sin contraparte visible.Otras partes del código rastreaban los movimientos del ratón, las presiones del teclado y los clics para verificar el comportamiento humano. // Hidden honeypot field for bots
const honeypot = document.createElement('input');
honeypot.type = 'text';
honeypot.name = 'website';
honeypot.style.display = 'none';
form.appendChild(honeypot);

// Check if honeypot was filled (by bots)
form.addEventListener('submit', function() {
    if (honeypot.value !== '') {
        emailError.textContent = 'Security check failed.';
        emailError.style.display = 'block';
        return false;
    }
}
 No era parte de la interfaz de usuario.La víctima nunca la vería.Entonces, ¿por qué estaba allí?Porque no estaba diseñado para atrapar a las víctimas. It was designed to catch us. El triángulo invisible Como cazador de amenazas cibernéticas, analizo docenas de sitios de phishing al mes. La mayoría son puestos de trabajo de corte y pestaña o kits de phishing como servicio de suscripción. La página de destino parecía aburrida: un prompt limpio y corporativo que pide al usuario que "verifique su dirección de correo electrónico" antes de proceder: Pero esta campaña fue un poco diferente. Como se esperaba, el contenido de este campo fue enviado al kit Adversary-in-the-Middle, para pre-filear el campo de correo electrónico en la solicitud de credenciales. pero cuando inspeccioné el DOM, encontré una discrepancia entre lo que se renderizó y lo que existía en el código. Bueno, esta técnica de campo de pollo de miel no es realmente nueva, y en realidad, tiene un pedigree legítimo. Los desarrolladores web han utilizado campos de pollo de miel desde principios de los 2000 para proteger los formularios de contacto y las páginas de registro. La lógica es elegante: los humanos no pueden ver el campo oculto, por lo que lo dejan vacío. Los robots de spam analizan el HTML, ven una entrada llamada "sitio web" y la rellenan debidamente con una URL. Cualquier envío con datos en el pollo de miel es silenciosamente descartado. Es una defensa brillante, pasiva. Sin fricción CAPTCHA o molestia del usuario, sólo una trampa silenciosa para capturar el abuso automatizado.Y vemos aquí cómo los operadores de phishing lo han copiado, línea por línea, para capturarnos. Aquí está cómo funciona en su contexto: los escáneres de seguridad rudimentarios analizan HTML crudo. Cuando se encuentran con un campo de entrada, su programación los obliga a rellenarlo para probar vulnerabilidades o desencadenar una acción de envío: 
 
 
 Campo oculto vacío? probablemente humano, proceder a AitM proxy kit El campo oculto tiene datos? Probablemente bot, muestra un mensaje de error El motor bajo el sombrero: Cloaking tráfico El honeypot es sólo uno de los filtros de nivel de entrada. Detrás de él se asienta una enorme industria backend llamada Traffic Cloaking. Originalmente desarrollado para detener así como perpetrar el fraude publicitario, ahora armado para el phishing. Los sofisticados servicios cuestan $1000 por mes y huellas dactilares de cada visitante en milisegundos. Eso no es dinero de guion; eso es inversión en infraestructura. Están comprobando: Los humanos son confusos; los bots son lineales e instantáneos. Behavioral biometrics: hace ¿El renderizador WebGL se identifica como "Google SwiftShader" (Chrome sin cabeza) en lugar del hardware real? Device fingerprinting: navigator.webdriver ¿Un ISP residencial o un centro de datos de un proveedor de seguridad? IP reputation: Envenenando el bien Cuando los kits de phishing detectan bots, escáneres y investigadores, no solo te bloquean. ¿Por qué? para envenenar amenazas de alimentación de inteligencia. Cuando el crawler de un proveedor de seguridad aterriza en ese blog, categoriza el dominio como, por ejemplo, “Retail” o “Technology/Benign.”Esta clasificación se propaga a los firewalls, filtros de URL y listas de bloques, por lo que el dominio se blanquea. He visto que los dominios permanecen activos durante semanas o incluso meses usando esta técnica. sin encubrir, la mayoría de los sitios de phishing se queman rápidamente. El mundo del espejo: la defensa se convierte en ofensa Siempre me hace reír cuando veo que los atacantes a menudo no están inventando nuevas técnicas, pero simplemente están copiando las nuestras. Los sitios legítimos utilizan potes de miel para mantener el spam fuera de sus bases de datos, mientras que los sitios de phishing utilizan potes de miel para mantener los escáneres fuera de su infraestructura. Este patrón se repite en todas partes: CAPTCHA, originalmente diseñado para defender sitios web, ahora aparece en al menos el 90% de los sitios de phishing que analizo. Impide que los rastreadores automatizados lleguen al contenido de phishing. Technical: Cuando las víctimas ven un Cloudflare Turnstile o Google reCAPTCHA, piensan: "Este sitio tiene controles de seguridad. Psychological: Qué hay detrás de la cortina ¿Por qué funciona tan duro para ocultar? Porque lo que está protegido es valioso: ataques en tiempo real de Adversary-in-the-Middle que roban cookies de sesión, no contraseñas. El kit actúa como un proxy en vivo, reenviando credenciales y códigos 2FA al servicio real. Cuando el sitio real emite una cookie de sesión, el atacante la captura. No se necesita contraseña, no se requiere bypass 2FA. Simplemente agarra el token de la cookie, y estás en. Busca la caja de entrada para obtener contenido monetizable, como una factura para replicar, y luego lo quema enviando la próxima ola de correos electrónicos de phishing. Eso vale la pena proteger con contrainteligencia. Cómo luchar de vuelta Escanear como una víctima, no como un servidor En nuestro programa de caza, analizamos el tráfico a través de proxies residenciales y móviles y imitamos las huellas dactilares de hardware/software reales, por lo que vemos lo que ven los objetivos. La caza del espacio negativo El pollo de miel que encontré era invisible al ojo, pero obvio tan pronto como miré el código (aunque, para ser justo, esto es porque esta página de destino no usó ninguna obstrución). si es posible, actualice sus reglas de detección para marcar las entradas de formulario oculto en las páginas de inicio de sesión. Deja de enseñar a los usuarios que los CAPTCHAs significan seguridad Hemos pasado años entrenando a los usuarios que un icono de bloqueo y un CAPTCHA son buenos signos, y los atacantes lo saben. Actualizar sus programas de conciencia de seguridad: Un CAPTCHA en un enlace inesperado no es una característica de seguridad. En el mejor de los casos, es una puerta diseñada para mantener las defensas automatizadas fuera, y en el peor de los casos es un ataque de estilo ClickFix. La carrera de armas continúa Los frenos frontales en los sitios de phishing son sólo una faceta de un cambio más amplio que he visto jugar en los últimos años: los atacantes tratando sus campañas Optimización del tiempo de funcionamiento, gestión del tráfico de bot, pruebas A/B de páginas de destino. como productos legítimos de SaaS Estamos en contra de los equipos de ingeniería con mapas de productos y canales de soporte al cliente. La solución no es otro cartel sobre “hover over the link” o un PowerPoint más largo sobre errores de ortografía. Es un cambio de mentalidad en el que dejamos de tratar el phishing como una búsqueda lateral. Los atacantes ya han robado nuestros potes de miel, nuestro CAPTCHA y nuestros libros de juegos. La única pregunta real ahora es si estamos dispuestos a robar algo de ellos: su disciplina. Si podemos enseñar a nuestros equipos de defensa a aplicar la ciencia y el arte del análisis tan eficazmente como lo hacen los atacantes, entonces la próxima vez que aparece el código oculto en un kit de phishing, no será su tripwire.

This story contains new, firsthand information uncovered by the writer.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

Read My Stories

Este audio es producido en el idioma original de la historia!

He visto un sitio de phishing que atrapa a los bots de seguridad

About Author

COMENTARIOS

ETIQUETAS

ESTE ARTÍCULO FUE PRESENTADO EN

Related Stories

De los foros a los feeds: cómo los algoritmos de las redes sociales influyen en la interacción digital

Las capas invisibles: por qué las entrevistas con los usuarios son un activo irremplazable

Una guía del arquitecto para crear una arquitectura de referencia para un lago de datos de IA/ML

Crecimiento de las criptomonedas: creación de perfiles de usuarios eficaces

De los foros a los feeds: cómo los algoritmos de las redes sociales influyen en la interacción digital

Las capas invisibles: por qué las entrevistas con los usuarios son un activo irremplazable

Una guía del arquitecto para crear una arquitectura de referencia para un lago de datos de IA/ML

Crecimiento de las criptomonedas: creación de perfiles de usuarios eficaces

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps