ฉันกําลังวิเคราะห์ชุด phishing สัปดาห์ที่แล้วเมื่อฉันสังเกตเห็นบางสิ่งบางอย่างใน HTML ที่ไม่ควรมีอยู่: กรอบแบบฟอร์มที่ซ่อนอยู่โดยไม่มีส่วนร่วมที่มองเห็นได้ ชิ้นส่วนอื่น ๆ ของรหัสติดตามการเคลื่อนไหวของเมาส์กดแป้นพิมพ์และคลิกเพื่อตรวจสอบพฤติกรรมของมนุษย์ แต่ถูกบันทึกไว้ด้านล่างเป็นกรอบการป้อนข้อมูลที่ซ่อนอยู่โดยโปรแกรมเพิ่มไปยังแบบฟอร์มซึ่งมองไม่เห็นสําหรับผู้ใช้ด้วยชื่อฟิลด์ "เว็บไซต์": // Hidden honeypot field for bots
const honeypot = document.createElement('input');
honeypot.type = 'text';
honeypot.name = 'website';
honeypot.style.display = 'none';
form.appendChild(honeypot);

// Check if honeypot was filled (by bots)
form.addEventListener('submit', function() {
    if (honeypot.value !== '') {
        emailError.textContent = 'Security check failed.';
        emailError.style.display = 'block';
        return false;
    }
}
 มันไม่ได้เป็นส่วนหนึ่งของอินเตอร์เฟซอินเทอร์เฟซ โหดร้ายจะไม่เห็นมัน ดังนั้นทําไมมันอยู่ที่นั่น เพราะมันไม่ได้ออกแบบมาเพื่อจับเหยื่อ It was designed to catch us. คนที่มองไม่เห็น Tripwire ในฐานะที่เป็น Cyber Threat Hunter ฉันวิเคราะห์หลายสิบเว็บไซต์ phishing ต่อเดือน ส่วนใหญ่เป็นงานตัดและวางที่เลวร้ายหรือชุดการสมัครสมาชิก Phishing-as-a-Service หน้าปลายทางดูน่าเบื่อเพียงพอ: คําแนะนําที่สะอาดในรูปแบบขององค์กรที่ขอให้ผู้ใช้ "ตรวจสอบที่อยู่อีเมลของคุณ" ก่อนที่จะดําเนินการ: แต่แคมเปญนี้ก็แตกต่างกันเล็กน้อย ตามที่คาดหวังเนื้อหาของฟิลด์นี้จะถูกส่งไปยังชุด Adversary-in-the-Middle เพื่อให้สามารถกรอกไฟล์ในฟิลด์อีเมลในคําขอการรับรองได้ แต่เมื่อฉันตรวจสอบ DOM ฉันพบความไม่สอดคล้องระหว่างสิ่งที่ rendered และสิ่งที่มีอยู่ในรหัส Okay, เทคนิคฟิลด์ honeypot นี้ไม่ได้เป็นเรื่องใหม่และในความเป็นจริงมันมีพื้นฐานที่ถูกต้อง นักพัฒนาเว็บได้ใช้ฟิลด์ honeypot ตั้งแต่ช่วงต้นปี 2000 เพื่อปกป้องแบบฟอร์มการติดต่อและหน้าการลงทะเบียน โลจิกที่สง่างาม: คนไม่สามารถเห็นฟิลด์ที่ซ่อนอยู่ดังนั้นพวกเขาจึงปล่อยให้ว่างเปล่า บอทสแปมสแกน HTML ดูการป้อนข้อมูลที่เรียกว่า "เว็บไซต์" และกรอกข้อมูลด้วย URL ได้อย่างระมัดระวัง การส่งข้อมูลใด ๆ ที่อยู่ใน honeypot จะถูกลบออกอย่างเงียบ มันเป็นการป้องกันที่ยอดเยี่ยมและใช้งานได้ ไม่มีการดัด CAPTCHA หรือความกังวลของผู้ใช้เท่านั้น แต่ก็เป็นฝีมือที่เงียบสงบเพื่อจับการละเมิดโดยอัตโนมัติ และเราเห็นที่นี่ว่าผู้ประกอบการปลอมแปลงข้อมูลได้คัดลอกมันได้อย่างไรเพื่อจับเรา นี่คือวิธีที่มันทํางานในแง่มุมของพวกเขา: เครื่องสแกนความปลอดภัย rudimentary สแกน HTML Raw เมื่อพวกเขาพบกับฟิลด์อินพุตการเขียนโปรแกรมของพวกเขาบังคับให้พวกเขากรอกเพื่อทดสอบความเสี่ยงหรือกระตุ้นการดําเนินการส่ง: 
 
 
 กรณีที่ซ่อนอยู่ว่างเปล่า? อาจเป็นมนุษย์โปรไฟล์ AitM Proxy Kit กรอบที่ซ่อนอยู่มีข้อมูลหรือไม่? บอทอาจแสดงข้อความข้อผิดพลาด The Engine Under the Hood: Traffic Cloaking น้ําผึ้งเป็นเพียงหนึ่งในตัวกรองระดับเริ่มต้น ที่อยู่เบื้องหลังเป็นอุตสาหกรรมด้านหลังขนาดใหญ่ที่เรียกว่า Traffic Cloaking ออกแบบมาเพื่อหยุดและการทําลายการโกงโฆษณาในขณะนี้ถูกอาวุธสําหรับ phishing บริการที่ซับซ้อนมีค่าใช้จ่าย $ 1000 ต่อเดือนและนิ้วมือของผู้เข้าชมแต่ละคนในมิลลิสวินาที นี่ไม่ใช่เงินสคริปต์ซึ่งเป็นการลงทุนในโครงสร้างพื้นฐาน พวกเขากําลังตรวจสอบ: กิจกรรมเมาส์, การป้อนริทึม. คนเป็นสับสน; บอทเป็นเชิงเส้นและทันที. Behavioral biometrics: ทํา กลับเป็นความจริง? เครื่อง rendering WebGL จะระบุตัวตนเป็น "Google SwiftShader" (Chrome ไม่มีหัว) แทนฮาร์ดแวร์จริงหรือไม่? Device fingerprinting: navigator.webdriver ISP ที่อยู่อาศัยหรือศูนย์ข้อมูลของผู้ให้บริการรักษาความปลอดภัย IP reputation: การเป็นพิษที่ดี นี่คือสถานที่ที่มันกลายเป็นกังวล เมื่อชุด phishing ตรวจจับบอทสแกนเนอร์และนักวิจัยพวกเขาไม่เพียง แต่บล็อกคุณ พวกเขาให้บริการ "Safe Page": ทําไม? เพื่อพิษภัยคุกคามสติปัญญาฟีด เมื่อเครื่องสแกนเนอร์ของซัพพลายเออร์รักษาความปลอดภัยลงบนบล็อกนั้นมันจะแบ่งปันโดเมนเป็นตัวอย่างเช่น “Retail” หรือ “Technology/Benign” การจําแนกประเภทนี้แพร่กระจายไปถึงผนังไฟร์วอลล์ตัวกรอง URL และบล็อกรายการดังนั้นโดเมนจะได้รับ whitelisted ในขณะที่เหยื่อจริงคลิกที่ลิงค์และเห็นหน้าฟีชิงจริงเครื่องมือรักษาความปลอดภัยแล้วได้พิมพ์มันปลอดภัย ฉันได้สังเกตเห็นว่าโดเมนยังคงใช้งานเป็นเวลาหลายสัปดาห์หรือแม้แต่เดือนโดยใช้เทคนิคนี้ โดยไม่ต้องปกคลุมเว็บไซต์ phishing ส่วนใหญ่จะถูกเผาไหม้ทันที โลกกระจก: การป้องกันกลายเป็นข้อบกพร่อง มันทําให้ฉันตื่นเต้นเสมอเมื่อฉันเห็นว่าผู้โจมตีมักจะไม่ได้คิดค้นเทคนิคใหม่ แต่พวกเขาจะคัดลอกของเรา เว็บไซต์ที่ถูกต้องใช้ honeypots เพื่อให้สแปมออกจากฐานข้อมูลของพวกเขาในขณะที่เว็บไซต์ปลอมใช้ honeypots เพื่อให้สแกนเนอร์ออกจากโครงสร้างพื้นฐานของพวกเขา รหัสเดียวกัน, flipped context รูปแบบนี้ซ้ํากันทุกที่: CAPTCHA, ออกแบบมาเพื่อปกป้องเว็บไซต์, ตอนนี้ปรากฏในอย่างน้อย 90% ของเว็บไซต์ phishing ฉันวิเคราะห์. วัตถุประสงค์คู่: ป้องกัน crawlers อัตโนมัติจากการเข้าถึงเนื้อหา phishing Technical: สร้างความไว้วางใจ เมื่อเหยื่อเห็น Cloudflare Turnstile หรือ Google reCAPTCHA พวกเขาคิดว่า "ไซต์นี้มีการตรวจสอบความปลอดภัย ควรเป็นกฎหมาย" Psychological: สิ่งที่อยู่เบื้องหลังผนัง ทําไมต้องทํางานอย่างหนักเพื่อซ่อน? เพราะสิ่งที่ได้รับการปกป้องมีค่า: การโจมตีของฝ่ายตรงข้ามในเวลาจริงที่ขโมยคุกกี้เซสชันไม่ใช่รหัสผ่าน ชุดนี้ทําหน้าที่เป็นตัวแทนผู้ให้บริการสดส่งข้อมูลจําเพาะและรหัส 2FA ไปยังบริการจริง เมื่อเว็บไซต์จริงออกคุกกี้เซสชันผู้โจมตีจะสแกนมัน ไม่มีรหัสผ่านที่จําเป็นไม่มีการขโมย 2FA ที่จําเป็น เพียงแค่จับ token จากคุกกี้และคุณอยู่ใน ค้นหากล่องจดหมายสําหรับเนื้อหาที่สามารถทํากําไรได้เช่นใบแจ้งหนี้เพื่อทําซ้ําแล้วเผามันโดยส่งอีเมลปลอมถัดไป ซึ่งคุ้มค่าในการปกป้องด้วยการป้องกัน วิธีการต่อสู้กลับ 1. สแกนเป็นเหยื่อไม่ใช่เซิร์ฟเวอร์ ในโปรแกรมการล่าสัตว์ของเราเราจะวิเคราะห์การเข้าชมผ่านตัวแทนจําหน่ายที่อยู่อาศัยและมือถือและจําลองลายนิ้วมือของฮาร์ดแวร์ / ซอฟต์แวร์ที่แท้จริงเพื่อให้เราเห็นสิ่งที่เป้าหมายเห็น อย่างไรก็ตามโปรดทราบว่าบางครั้งที่หมายความว่าหน้าเว็บจะถูกบล็อกโดยอุปกรณ์ความปลอดภัยของ ISP หรือการกรอง DNS 2. การล่าสัตว์สําหรับพื้นที่เชิงลบ น้ําผึ้งที่ฉันพบเป็นมองไม่เห็นกับดวงตา แต่เห็นได้ชัดทันทีที่ฉันมองไปที่รหัส (แม้ว่าจะเป็นธรรมนี่เป็นเพราะหน้าปลายทางนี้ไม่ได้ใช้การปิดผนึกใด ๆ) หากเป็นไปได้ให้อัปเดตกฎการตรวจจับของคุณเพื่อป้ายอินพุตแบบฟอร์มที่ซ่อนอยู่บนหน้าเข้าสู่ระบบ 3. หยุดสอนผู้ใช้ว่า CAPTCHAs หมายถึงความปลอดภัย เราใช้เวลาหลายปีในการฝึกอบรมผู้ใช้ว่าไอคอน padlock และ CAPTCHA เป็นสัญญาณที่ดีและผู้โจมตีรู้ว่า ตอนนี้ผู้โจมตีใช้ CAPTCHA และ SSL มากกว่าเว็บไซต์ที่ถูกต้อง ปรับปรุงโปรแกรมการรับรู้ความปลอดภัยของคุณ: CAPTCHA บนลิงก์ที่ไม่คาดคิดไม่ใช่คุณลักษณะความปลอดภัย ในช่วงที่ดีที่สุดมันเป็นพอร์ตที่ออกแบบมาเพื่อให้การป้องกันอัตโนมัติออกและในกรณีที่เลวร้ายที่สุดมันเป็นการโจมตีสไตล์ ClickFix หากคุณต้องแก้ปัญหาเพียงเพื่อดู "เอกสารภายในที่แบ่งปัน" คุณกําลังเดินเข้าไปในฝีมือ การแข่งขันอาวุธต่อเนื่อง น้ําผึ้งด้านหน้าบนเว็บไซต์ phishing เป็นเพียงหนึ่งด้านของการเปลี่ยนแปลงที่กว้างขวางที่ฉันได้สังเกตเห็นในช่วงหลายปีที่ผ่านมา: นักโจมตีจัดการกับแคมเปญของพวกเขา : การเพิ่มประสิทธิภาพเวลาทํางานการจัดการการจราจรบอท A / B การทดสอบหน้าปลายทาง เช่นผลิตภัณฑ์ SaaS ที่ถูกต้อง เราต่อสู้กับทีมงานวิศวกรรมที่มีแผนผังผลิตภัณฑ์และช่องทางการสนับสนุนลูกค้า แก้ไขไม่ได้เป็นโพสต์อื่นเกี่ยวกับ“ hover over the link” หรือ PowerPoint ที่ยาวนานเกี่ยวกับการเขียนผิด นี่คือการเปลี่ยนแปลงทัศนคติซึ่งเราหยุดปฏิบัติต่อการ phishing เป็นการแสวงหาด้านข้าง นักโจมตีได้ขโมยน้ําผึ้งของเรา CAPTCHA และหนังสือเล่นของเรา คําถามที่แท้จริงตอนนี้คือว่าเราพร้อมที่จะขโมยบางสิ่งบางอย่างจากพวกเขาหรือไม่: หลักการของพวกเขา หากเราสามารถสอนทีมงานการป้องกันของเราให้ใช้วิทยาศาสตร์และศิลปะของการวิเคราะห์ได้อย่างมีประสิทธิภาพเท่าที่ผู้โจมตีทําแล้วครั้งต่อไปที่รหัสที่ซ่อนอยู่ปรากฏในชุด phishing จะไม่ได้เป็น tripwire ของพวกเขา มันจะเป็นของเรา

This story contains new, firsthand information uncovered by the writer.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

Read My Stories

เสียงนี้ผลิตในภาษาต้นฉบับของเรื่องราว!

I Saw A Phishing Site That Traps บอทความปลอดภัย

About Author

ความคิดเห็น

แขวนแท็ก

บทความนี้ถูกนำเสนอใน

Related Stories

Meet Catchpoint: HackerNoon Company of the Week

CHANGES AT MILTON.

Meet Mezo: HackerNoon Company of the Week

Learn Technical Storytelling This Halloween at the Spells & Syntax Workshop

Meet Catchpoint: HackerNoon Company of the Week

CHANGES AT MILTON.

Meet Mezo: HackerNoon Company of the Week

Learn Technical Storytelling This Halloween at the Spells & Syntax Workshop

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps