ฉันกําลังวิเคราะห์ชุด phishing สัปดาห์ที่แล้วเมื่อฉันสังเกตเห็นบางสิ่งบางอย่างใน HTML ที่ไม่ควรมีอยู่: กรอบแบบฟอร์มที่ซ่อนอยู่โดยไม่มีส่วนร่วมที่มองเห็นได้ ชิ้นส่วนอื่น ๆ ของรหัสติดตามการเคลื่อนไหวของเมาส์กดแป้นพิมพ์และคลิกเพื่อตรวจสอบพฤติกรรมของมนุษย์ แต่ถูกบันทึกไว้ด้านล่างเป็นกรอบการป้อนข้อมูลที่ซ่อนอยู่โดยโปรแกรมเพิ่มไปยังแบบฟอร์มซึ่งมองไม่เห็นสําหรับผู้ใช้ด้วยชื่อฟิลด์ "เว็บไซต์": // Hidden honeypot field for bots
const honeypot = document.createElement('input');
honeypot.type = 'text';
honeypot.name = 'website';
honeypot.style.display = 'none';
form.appendChild(honeypot);

// Check if honeypot was filled (by bots)
form.addEventListener('submit', function() {
    if (honeypot.value !== '') {
        emailError.textContent = 'Security check failed.';
        emailError.style.display = 'block';
        return false;
    }
}
 มันไม่ได้เป็นส่วนหนึ่งของอินเตอร์เฟซอินเทอร์เฟซ โหดร้ายจะไม่เห็นมัน ดังนั้นทําไมมันอยู่ที่นั่น เพราะมันไม่ได้ออกแบบมาเพื่อจับเหยื่อ It was designed to catch us. คนที่มองไม่เห็น Tripwire ในฐานะที่เป็น Cyber Threat Hunter ฉันวิเคราะห์หลายสิบเว็บไซต์ phishing ต่อเดือน ส่วนใหญ่เป็นงานตัดและวางที่เลวร้ายหรือชุดการสมัครสมาชิก Phishing-as-a-Service หน้าปลายทางดูน่าเบื่อเพียงพอ: คําแนะนําที่สะอาดในรูปแบบขององค์กรที่ขอให้ผู้ใช้ "ตรวจสอบที่อยู่อีเมลของคุณ" ก่อนที่จะดําเนินการ: แต่แคมเปญนี้ก็แตกต่างกันเล็กน้อย ตามที่คาดหวังเนื้อหาของฟิลด์นี้จะถูกส่งไปยังชุด Adversary-in-the-Middle เพื่อให้สามารถกรอกไฟล์ในฟิลด์อีเมลในคําขอการรับรองได้ แต่เมื่อฉันตรวจสอบ DOM ฉันพบความไม่สอดคล้องระหว่างสิ่งที่ rendered และสิ่งที่มีอยู่ในรหัส Okay, เทคนิคฟิลด์ honeypot นี้ไม่ได้เป็นเรื่องใหม่และในความเป็นจริงมันมีพื้นฐานที่ถูกต้อง นักพัฒนาเว็บได้ใช้ฟิลด์ honeypot ตั้งแต่ช่วงต้นปี 2000 เพื่อปกป้องแบบฟอร์มการติดต่อและหน้าการลงทะเบียน โลจิกที่สง่างาม: คนไม่สามารถเห็นฟิลด์ที่ซ่อนอยู่ดังนั้นพวกเขาจึงปล่อยให้ว่างเปล่า บอทสแปมสแกน HTML ดูการป้อนข้อมูลที่เรียกว่า "เว็บไซต์" และกรอกข้อมูลด้วย URL ได้อย่างระมัดระวัง การส่งข้อมูลใด ๆ ที่อยู่ใน honeypot จะถูกลบออกอย่างเงียบ มันเป็นการป้องกันที่ยอดเยี่ยมและใช้งานได้ ไม่มีการดัด CAPTCHA หรือความกังวลของผู้ใช้เท่านั้น แต่ก็เป็นฝีมือที่เงียบสงบเพื่อจับการละเมิดโดยอัตโนมัติ และเราเห็นที่นี่ว่าผู้ประกอบการปลอมแปลงข้อมูลได้คัดลอกมันได้อย่างไรเพื่อจับเรา นี่คือวิธีที่มันทํางานในแง่มุมของพวกเขา: เครื่องสแกนความปลอดภัย rudimentary สแกน HTML Raw เมื่อพวกเขาพบกับฟิลด์อินพุตการเขียนโปรแกรมของพวกเขาบังคับให้พวกเขากรอกเพื่อทดสอบความเสี่ยงหรือกระตุ้นการดําเนินการส่ง: 
 
 
 กรณีที่ซ่อนอยู่ว่างเปล่า? อาจเป็นมนุษย์โปรไฟล์ AitM Proxy Kit กรอบที่ซ่อนอยู่มีข้อมูลหรือไม่? บอทอาจแสดงข้อความข้อผิดพลาด The Engine Under the Hood: Traffic Cloaking น้ําผึ้งเป็นเพียงหนึ่งในตัวกรองระดับเริ่มต้น ที่อยู่เบื้องหลังเป็นอุตสาหกรรมด้านหลังขนาดใหญ่ที่เรียกว่า Traffic Cloaking ออกแบบมาเพื่อหยุดและการทําลายการโกงโฆษณาในขณะนี้ถูกอาวุธสําหรับ phishing บริการที่ซับซ้อนมีค่าใช้จ่าย $ 1000 ต่อเดือนและนิ้วมือของผู้เข้าชมแต่ละคนในมิลลิสวินาที นี่ไม่ใช่เงินสคริปต์ซึ่งเป็นการลงทุนในโครงสร้างพื้นฐาน พวกเขากําลังตรวจสอบ: กิจกรรมเมาส์, การป้อนริทึม. คนเป็นสับสน; บอทเป็นเชิงเส้นและทันที. Behavioral biometrics: ทํา กลับเป็นความจริง? เครื่อง rendering WebGL จะระบุตัวตนเป็น "Google SwiftShader" (Chrome ไม่มีหัว) แทนฮาร์ดแวร์จริงหรือไม่? Device fingerprinting: navigator.webdriver ISP ที่อยู่อาศัยหรือศูนย์ข้อมูลของผู้ให้บริการรักษาความปลอดภัย IP reputation: การเป็นพิษที่ดี นี่คือสถานที่ที่มันกลายเป็นกังวล เมื่อชุด phishing ตรวจจับบอทสแกนเนอร์และนักวิจัยพวกเขาไม่เพียง แต่บล็อกคุณ พวกเขาให้บริการ "Safe Page": ทําไม? เพื่อพิษภัยคุกคามสติปัญญาฟีด เมื่อเครื่องสแกนเนอร์ของซัพพลายเออร์รักษาความปลอดภัยลงบนบล็อกนั้นมันจะแบ่งปันโดเมนเป็นตัวอย่างเช่น “Retail” หรือ “Technology/Benign” การจําแนกประเภทนี้แพร่กระจายไปถึงผนังไฟร์วอลล์ตัวกรอง URL และบล็อกรายการดังนั้นโดเมนจะได้รับ whitelisted ในขณะที่เหยื่อจริงคลิกที่ลิงค์และเห็นหน้าฟีชิงจริงเครื่องมือรักษาความปลอดภัยแล้วได้พิมพ์มันปลอดภัย ฉันได้สังเกตเห็นว่าโดเมนยังคงใช้งานเป็นเวลาหลายสัปดาห์หรือแม้แต่เดือนโดยใช้เทคนิคนี้ โดยไม่ต้องปกคลุมเว็บไซต์ phishing ส่วนใหญ่จะถูกเผาไหม้ทันที โลกกระจก: การป้องกันกลายเป็นข้อบกพร่อง มันทําให้ฉันตื่นเต้นเสมอเมื่อฉันเห็นว่าผู้โจมตีมักจะไม่ได้คิดค้นเทคนิคใหม่ แต่พวกเขาจะคัดลอกของเรา เว็บไซต์ที่ถูกต้องใช้ honeypots เพื่อให้สแปมออกจากฐานข้อมูลของพวกเขาในขณะที่เว็บไซต์ปลอมใช้ honeypots เพื่อให้สแกนเนอร์ออกจากโครงสร้างพื้นฐานของพวกเขา รหัสเดียวกัน, flipped context รูปแบบนี้ซ้ํากันทุกที่: CAPTCHA, ออกแบบมาเพื่อปกป้องเว็บไซต์, ตอนนี้ปรากฏในอย่างน้อย 90% ของเว็บไซต์ phishing ฉันวิเคราะห์. วัตถุประสงค์คู่: ป้องกัน crawlers อัตโนมัติจากการเข้าถึงเนื้อหา phishing Technical: สร้างความไว้วางใจ เมื่อเหยื่อเห็น Cloudflare Turnstile หรือ Google reCAPTCHA พวกเขาคิดว่า "ไซต์นี้มีการตรวจสอบความปลอดภัย ควรเป็นกฎหมาย" Psychological: สิ่งที่อยู่เบื้องหลังผนัง ทําไมต้องทํางานอย่างหนักเพื่อซ่อน? เพราะสิ่งที่ได้รับการปกป้องมีค่า: การโจมตีของฝ่ายตรงข้ามในเวลาจริงที่ขโมยคุกกี้เซสชันไม่ใช่รหัสผ่าน ชุดนี้ทําหน้าที่เป็นตัวแทนผู้ให้บริการสดส่งข้อมูลจําเพาะและรหัส 2FA ไปยังบริการจริง เมื่อเว็บไซต์จริงออกคุกกี้เซสชันผู้โจมตีจะสแกนมัน ไม่มีรหัสผ่านที่จําเป็นไม่มีการขโมย 2FA ที่จําเป็น เพียงแค่จับ token จากคุกกี้และคุณอยู่ใน ค้นหากล่องจดหมายสําหรับเนื้อหาที่สามารถทํากําไรได้เช่นใบแจ้งหนี้เพื่อทําซ้ําแล้วเผามันโดยส่งอีเมลปลอมถัดไป ซึ่งคุ้มค่าในการปกป้องด้วยการป้องกัน วิธีการต่อสู้กลับ 1. สแกนเป็นเหยื่อไม่ใช่เซิร์ฟเวอร์ ในโปรแกรมการล่าสัตว์ของเราเราจะวิเคราะห์การเข้าชมผ่านตัวแทนจําหน่ายที่อยู่อาศัยและมือถือและจําลองลายนิ้วมือของฮาร์ดแวร์ / ซอฟต์แวร์ที่แท้จริงเพื่อให้เราเห็นสิ่งที่เป้าหมายเห็น อย่างไรก็ตามโปรดทราบว่าบางครั้งที่หมายความว่าหน้าเว็บจะถูกบล็อกโดยอุปกรณ์ความปลอดภัยของ ISP หรือการกรอง DNS 2. การล่าสัตว์สําหรับพื้นที่เชิงลบ น้ําผึ้งที่ฉันพบเป็นมองไม่เห็นกับดวงตา แต่เห็นได้ชัดทันทีที่ฉันมองไปที่รหัส (แม้ว่าจะเป็นธรรมนี่เป็นเพราะหน้าปลายทางนี้ไม่ได้ใช้การปิดผนึกใด ๆ) หากเป็นไปได้ให้อัปเดตกฎการตรวจจับของคุณเพื่อป้ายอินพุตแบบฟอร์มที่ซ่อนอยู่บนหน้าเข้าสู่ระบบ 3. หยุดสอนผู้ใช้ว่า CAPTCHAs หมายถึงความปลอดภัย เราใช้เวลาหลายปีในการฝึกอบรมผู้ใช้ว่าไอคอน padlock และ CAPTCHA เป็นสัญญาณที่ดีและผู้โจมตีรู้ว่า ตอนนี้ผู้โจมตีใช้ CAPTCHA และ SSL มากกว่าเว็บไซต์ที่ถูกต้อง ปรับปรุงโปรแกรมการรับรู้ความปลอดภัยของคุณ: CAPTCHA บนลิงก์ที่ไม่คาดคิดไม่ใช่คุณลักษณะความปลอดภัย ในช่วงที่ดีที่สุดมันเป็นพอร์ตที่ออกแบบมาเพื่อให้การป้องกันอัตโนมัติออกและในกรณีที่เลวร้ายที่สุดมันเป็นการโจมตีสไตล์ ClickFix หากคุณต้องแก้ปัญหาเพียงเพื่อดู "เอกสารภายในที่แบ่งปัน" คุณกําลังเดินเข้าไปในฝีมือ การแข่งขันอาวุธต่อเนื่อง น้ําผึ้งด้านหน้าบนเว็บไซต์ phishing เป็นเพียงหนึ่งด้านของการเปลี่ยนแปลงที่กว้างขวางที่ฉันได้สังเกตเห็นในช่วงหลายปีที่ผ่านมา: นักโจมตีจัดการกับแคมเปญของพวกเขา : การเพิ่มประสิทธิภาพเวลาทํางานการจัดการการจราจรบอท A / B การทดสอบหน้าปลายทาง เช่นผลิตภัณฑ์ SaaS ที่ถูกต้อง เราต่อสู้กับทีมงานวิศวกรรมที่มีแผนผังผลิตภัณฑ์และช่องทางการสนับสนุนลูกค้า แก้ไขไม่ได้เป็นโพสต์อื่นเกี่ยวกับ“ hover over the link” หรือ PowerPoint ที่ยาวนานเกี่ยวกับการเขียนผิด นี่คือการเปลี่ยนแปลงทัศนคติซึ่งเราหยุดปฏิบัติต่อการ phishing เป็นการแสวงหาด้านข้าง นักโจมตีได้ขโมยน้ําผึ้งของเรา CAPTCHA และหนังสือเล่นของเรา คําถามที่แท้จริงตอนนี้คือว่าเราพร้อมที่จะขโมยบางสิ่งบางอย่างจากพวกเขาหรือไม่: หลักการของพวกเขา หากเราสามารถสอนทีมงานการป้องกันของเราให้ใช้วิทยาศาสตร์และศิลปะของการวิเคราะห์ได้อย่างมีประสิทธิภาพเท่าที่ผู้โจมตีทําแล้วครั้งต่อไปที่รหัสที่ซ่อนอยู่ปรากฏในชุด phishing จะไม่ได้เป็น tripwire ของพวกเขา มันจะเป็นของเรา

This story contains new, firsthand information uncovered by the writer.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

Read My Stories

เสียงนี้ผลิตในภาษาต้นฉบับของเรื่องราว!

I Saw A Phishing Site That Traps บอทความปลอดภัย

About Author

ความคิดเห็น

แขวนแท็ก

บทความนี้ถูกนำเสนอใน

Related Stories

CHANGES AT MILTON.

Emphatic words must stand in emphatic positions

The Tech Community's Efforts to Dethrone OpenAI

Meet Confluent: HackerNoon Company of the Week

CHANGES AT MILTON.

Emphatic words must stand in emphatic positions

The Tech Community's Efforts to Dethrone OpenAI

Meet Confluent: HackerNoon Company of the Week

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps