Eu estava analisando um kit de phishing na semana passada quando notei algo no HTML que não deveria ter estado lá: um campo de formulário oculto sem contraparte visível. Outras partes do código rastreavam movimentos do mouse, pressões do teclado e cliques para verificar o comportamento humano. Mas enterrado no fundo era um campo de entrada oculto programaticamente adicionado ao formulário, invisível para os usuários, com o nome do campo "site": // Hidden honeypot field for bots
const honeypot = document.createElement('input');
honeypot.type = 'text';
honeypot.name = 'website';
honeypot.style.display = 'none';
form.appendChild(honeypot);

// Check if honeypot was filled (by bots)
form.addEventListener('submit', function() {
    if (honeypot.value !== '') {
        emailError.textContent = 'Security check failed.';
        emailError.style.display = 'block';
        return false;
    }
}
 Não fazia parte da UI. A vítima nunca a veria.Então, por que ela estava lá?Porque não foi projetada para pegar vítimas. It was designed to catch us. O triângulo invisível Como caçador de ameaças cibernéticas, eu analise dezenas de sites de phishing por mês. A maioria são trabalhos de corte e colagem preguiçosos ou kits de assinatura de phishing-as-a-service. A página de destino parecia chata o suficiente: um convite limpo e corporativo pedindo ao usuário que "verifique seu endereço de e-mail" antes de proceder: Mas essa campanha foi um pouco diferente. Como esperado, os conteúdos deste campo foram enviados para o Kit Adversary-in-the-Middle, a fim de pré-arquivar o campo de e-mail sobre a solicitação de credenciais.Mas quando inspeccionei o DOM, encontrei uma discrepância entre o que foi renderizado e o que existia no código. Ok, esta técnica de campo de melão não é realmente nova e, na verdade, tem um pedigree legítimo. Os desenvolvedores da Web usaram campos de melão desde o início dos anos 2000 para proteger formulários de contato e páginas de registro. A lógica é elegante: os seres humanos não podem ver o campo oculto, então eles o deixam vazio. Bots de spam analisam o HTML, veem uma entrada chamada “site”, e preenchê-lo devidamente com um URL. Qualquer submissão com dados no melão é silenciosamente descartada. É uma defesa brilhante, passiva. Sem atrito CAPTCHA ou irritação do usuário, apenas uma armadilha silenciosa para pegar abusos automatizados.E vemos aqui como os operadores de phishing copiaram, linha por linha, para nos pegar. Aqui está como funciona em seu contexto: os scanners de segurança rudimentares analisam o HTML bruto.Quando eles encontram um campo de entrada, sua programação os obriga a preenchê-lo para testar vulnerabilidades ou desencadear uma ação de submissão: 
 
 
 O campo escondido está vazio? Provavelmente humano, vá para o kit de proxy AitM O campo oculto tem dados? provavelmente bot, exibe uma mensagem de erro O motor sob o chapéu: o tráfego cravando O honeypot é apenas um dos filtros de nível de entrada. Por trás dele está uma enorme indústria de back-end chamada Traffic Cloaking. Originalmente desenvolvido para parar e perpetrar fraudes de anúncios, agora armado para phishing. Os sofisticados serviços custam US $ 1000 por mês e impressão digital de cada visitante em milissegundos. Isso não é dinheiro de script kiddie; isso é investimento em infraestrutura. Eles estão verificando: Os humanos são confusos; os bots são lineares e instantâneos. Behavioral biometrics: faz O render WebGL identifica-se como "Google SwiftShader" (Chrome sem cabeça) em vez do hardware real? Device fingerprinting: navigator.webdriver ISP residencial ou data center de um fornecedor de segurança? IP reputation: Envenenando o bem Quando os kits de phishing detectam bots, scanners e pesquisadores, eles não apenas bloqueiam você. Para envenenar ameaças de inteligência feeds. Quando o rastreador de um fornecedor de segurança aterra nesse blog, ele categoriza o domínio como, por exemplo, “Retail” ou “Technology/Benign.” Essa classificação se propaga para firewalls, filtros de URL e listas de blocos, de modo que o domínio fica em lista branca. No momento em que uma vítima real clica no link e vê a página de phishing real, as ferramentas de segurança já o marcaram com segurança. Eu vi domínios permanecerem ativos por semanas ou até meses usando esta técnica. sem encobrir, a maioria dos sites de phishing é queimada prontamente. The Mirror World: Defesa se torna ofensa Sempre me faz rir quando vejo que os atacantes muitas vezes não estão inventando novas técnicas, mas estão apenas copiando a nossa. Sites legítimos usam honeypots para manter o spam fora de seus bancos de dados, enquanto sites de phishing usam honeypots para manter os scanners fora de sua infraestrutura. Este padrão se repete em todos os lugares: CAPTCHA, originalmente projetado para defender sites, agora aparece em pelo menos 90% dos sites de phishing que eu analise. Impede que crawlers automatizados alcancem o conteúdo de phishing. Technical: Quando as vítimas veem um Cloudflare Turnstile ou Google reCAPTCHA, elas pensam: “Este site tem verificações de segurança. Psychological: O que há por trás da cortina Porque o que está protegido é valioso: ataques de adversários em tempo real que roubam cookies de sessão, não senhas. O kit atua como um proxy ao vivo, redirecionando credenciais e códigos 2FA para o serviço real. Quando o site real emite um cookie de sessão, o atacante o captura. Sem senha necessária, sem bypass 2FA necessário. Basta pegar o token do cookie, e você está dentro. Procure a caixa de entrada para conteúdo monetizável, como uma fatura para replicar, e depois queime-o enviando a próxima onda de e-mails de phishing. Isso vale a pena proteger com contra-inteligência. Como lutar de volta Escaneie como uma vítima, não como um servidor Em nosso programa de caça, roteamos a análise de tráfego através de proxies residenciais e móveis e imitamos impressões digitais reais de hardware/software, para que possamos ver o que os alvos veem. A caça ao espaço negativo O pote de mel que eu encontrei era invisível ao olho, mas óbvio assim que eu olhei para o código (embora, para ser justo, isso é porque esta página de destino não usou qualquer obstrução). Pare de ensinar aos usuários que CAPTCHAs significam segurança Passamos anos treinando os usuários que um ícone de padlock e um CAPTCHA são bons sinais, e os atacantes sabem disso. Atualize seus programas de conscientização de segurança: Um CAPTCHA em um link inesperado não é um recurso de segurança. Na melhor das hipóteses, é um portal projetado para manter as defesas automatizadas fora, e no pior é um ataque de estilo ClickFix. Corrida das Armas continua Pots de mel front-end em sites de phishing são apenas uma faceta de uma mudança mais ampla que eu assisti nos últimos anos: atacantes tratando suas campanhas : otimização do tempo de funcionamento, gerenciamento de tráfego de bot, testes A / B de páginas de destino. como produtos SaaS legítimos Estamos contra equipes de engenharia com roteiros de produtos e canais de suporte ao cliente. A correção não é mais um cartaz sobre “hover over the link” ou um PowerPoint mais longo sobre erros de escrita. É uma mudança de mentalidade na qual deixamos de tratar o phishing como uma missão lateral. Os atacantes já roubaram nossos potes de mel, nosso CAPTCHA e nossos livros de brinquedos. A única pergunta real agora é se estamos dispostos a roubar algo deles: sua disciplina. Se podemos ensinar nossas equipes de defesa a aplicar a ciência e a arte da análise tão eficazmente quanto os atacantes, então a próxima vez que o código escondido aparece em um kit de phishing, não será seu tripwire.

This story contains new, firsthand information uncovered by the writer.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

Read My Stories

Este áudio é produzido no idioma original da história!

Eu vi um site de phishing que pega bots de segurança

About Author

COMENTARIOS

Rótulos

ESTE ARTIGO FOI APRESENTADO EM

Related Stories

Vazamento do prompt do sistema Claude Sonnet 3.5: uma análise forense

Guia do arquiteto para construir arquitetura de referência para um Datalake de IA/ML

De fóruns a feeds: como os algoritmos de mídia social moldam a interação digital

Como melhorar seu fluxo de trabalho em 10 vezes: 17 aplicativos essenciais

Vazamento do prompt do sistema Claude Sonnet 3.5: uma análise forense

Guia do arquiteto para construir arquitetura de referência para um Datalake de IA/ML

De fóruns a feeds: como os algoritmos de mídia social moldam a interação digital

Como melhorar seu fluxo de trabalho em 10 vezes: 17 aplicativos essenciais

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps