Минулого тижня я аналізував фішинговий набір, коли помітив щось в HTML, що не повинно було бути там: приховане поле форми без видимого аналога. Інші частини коду відслідковували рухи миші, натискання клавіатури та натискання для перевірки людської поведінки. Але поховано внизу було приховане поле введення, програмно додане до форми, невидиме для користувачів, з назвою поля "сайт": // Hidden honeypot field for bots
const honeypot = document.createElement('input');
honeypot.type = 'text';
honeypot.name = 'website';
honeypot.style.display = 'none';
form.appendChild(honeypot);

// Check if honeypot was filled (by bots)
form.addEventListener('submit', function() {
    if (honeypot.value !== '') {
        emailError.textContent = 'Security check failed.';
        emailError.style.display = 'block';
        return false;
    }
}
 Він не був частиною інтерфейсу. Жертва ніколи не побачила його. Так чому він був там? тому що він не був розроблений для того, щоб спіймати жертв. It was designed to catch us. Невидимий трикотаж Як мисливець за кіберзагрозами, я аналізую десятки фішингових сайтів щомісяця.Більшість з них є або неприємними робочими місцями, або підписками на фішингові комплекти. Кінцева сторінка виглядала досить нудно: чистий, корпоративний посібник, який просить користувача "Перевірити свою адресу електронної пошти" перед тим, як продовжити: Але ця кампанія була трохи іншою. Як і очікувалося, вміст цього поля було надіслано в комплект Adversary-in-the-Middle, щоб заздалегідь надіслати поле електронної пошти на запит довіреності, але коли я перевірив DOM, я виявив розбіжність між тим, що було відтворено, і тим, що було в коді. Добре, ця методика поля медвежівки насправді не нова, і насправді вона має законний родовід. Веб-розробники використовували поля медвежівки з початку 2000-х років для захисту контактних форм та реєстраційних сторінок. Логіка елегантна: люди не можуть бачити приховане поле, тому вони залишають його порожнім. Спам-боти аналізують HTML, бачать вхід під назвою «сайт», і обов'язково заповнюють його URL-адресою. Будь-яке подання з даними в медвежівці тихо відкидається. Це блискуча, пасивна оборона. Немає тремтіння CAPTCHA або дратівливості користувачів, просто тиха пастка для спіймання автоматизованого зловживання. Ось як це працює в їх контексті: Рудиментальні сканери безпеки аналізують сирий HTML. Коли вони стикаються з вхідним полем, їхнє програмування змушує їх заповнити його, щоб перевірити уразливості або запустити акцію подання: 
 
 
 Приховані поля порожні? ймовірно, людина, перейти до AitM проксі-кіт Приховане поле має дані? ймовірно, бот, відображає повідомлення про помилку Двигун під капотом: рух транспорту Медовий чайник - це лише один з фільтрів на початковому рівні. За ним сидить масивна індустрія, яка називається Traffic Cloaking. Спочатку розроблена для того, щоб зупинити, а також скоїти рекламні шахрайства, тепер озброєні для фішингу. Скромні послуги коштують $ 1000 на місяць і відбитки пальців кожного відвідувача в мілісекундах. Це не сценарій, це гроші, це інвестиції в інфраструктуру. Вони перевіряють: Діяльність миші, введення ритму.Люди безладні; боти лінійні і миттєві. Behavioral biometrics: робить Чи ідентифікує рендер WebGL як "Google SwiftShader" (безголовний Chrome) замість фактичного апаратного забезпечення? Device fingerprinting: navigator.webdriver Резидентний ISP або дата-центр постачальника безпеки? IP reputation: Отруїти добре Коли фішингові набори виявляють ботів, сканерів і дослідників, вони не просто блокують вас. Для того, щоб отруїти погрози інформаційних джерел. Коли краулер постачальника безпеки приземляється на цьому блозі, він класифікує домен як, наприклад, «Роздрібна торгівля» або «Technology/Benign». Ця класифікація поширюється на брандмауер, URL-фільтри та блок-лісти, так що домен стає білим. Я спостерігав, як домени залишаються активними протягом тижнів або навіть місяців, використовуючи цю техніку. The Mirror World: Defense стає злочином Я завжди сміюся, коли бачу, що нападники часто не вигадують нових методів, а просто копіюють наші. Легітимні сайти використовують медоноски, щоб тримати спам з їхніх баз даних, в той час як фішингові сайти використовують медоноски, щоб тримати сканери з їх інфраструктури. Цей вислів повторився всюди: CAPTCHA, спочатку розроблена для захисту веб-сайтів, тепер з'являється принаймні на 90% фішингових сайтів, які я аналізую. Забороняє автоматизованим сканерам досягати фішингового контенту. Technical: Коли жертви бачать Cloudflare Turnstile або Google reCAPTCHA, вони думають: "Цей сайт має перевірки безпеки. Psychological: Що знаходиться за завісою Чому так важко приховувати? Тому що захищені цінні: атаки противника в реальному часі, які крадуть сесійні файли cookie, а не паролі. Комплект діє як живий проксі, передає довіреності та коди 2FA до фактичного сервісу. Коли реальний сайт випускає сесійний файл cookie, нападник знімає його. Немає необхідного пароля, немає необхідного обходу 2FA. Просто захоплюйте токен з файлу cookie, і ви входите. Шукайте вхідну скриньку за контентом, який можна монетизувати, наприклад, рахунок, щоб відтворити, а потім спалюйте його, відправляючи наступну хвилю фішингових електронних листів. Це варто захищати за допомогою контррозвідки. Як боротися назад Скануйте як жертву, а не як сервер У нашій програмі полювання ми спрямовуємо аналіз трафіку через житлові та мобільні проксі і імітуємо справжні відбитки пальців апаратного та програмного забезпечення, тому ми бачимо, що бачать цілі. Полювання на негативний простір Медовий горщик, який я знайшов, був невидимим для очей, але очевидним, як тільки я подивився на код (хоча, щоб бути чесним, це тому, що ця сторінка приземлення не використовувала жодної затьмареності). Перестаньте вчити користувачів, що CAPTCHAs означають безпеку Ми витратили роки, навчивши користувачів, що ікона замку і CAPTCHA є хорошими ознаками, і атакуючі це знають. Оновлення програм безпеки: CAPTCHA на несподіваному посиланні не є функцією безпеки. У кращому випадку, це ворота, призначені для того, щоб тримати автоматизовані оборони, а в гіршому випадку це атака стилю ClickFix. Гонка озброєнь продовжується Фронтальні медоноски на сайтах фішингу - це лише один аспект більш широкого переходу, який я спостерігав за останніми роками: нападники, які лікують свої кампанії : оптимізація часу роботи, управління трафіком ботів, A / B тестування посадкових сторінок. як законні продукти SaaS Ми проти інженерних команд з дорожними картами продуктів та каналами підтримки клієнтів. Виправлення не є ще одним плакатом про "повертатися через посилання" або більш тривалим PowerPoint про неправильне написання. Це зміна мислення, в якій ми перестаємо ставитися до фішингу як до бічного пошуку. Нападники вже вкрали наші медоні, наші CAPTCHA та наші ігрові книги. Єдине реальне питання зараз полягає в тому, чи готові ми вкрасти щось від них: їх дисципліна. Якщо ми можемо навчити наші оборонні команди застосовувати науку та мистецтво аналізу так само ефективно, як атакуючі, то наступного разу прихований код з'явиться в фішинговому комплекті, це не буде їхній трипровід. Це буде наше.

This story contains new, firsthand information uncovered by the writer.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

Read My Stories

Це аудіо створено мовою оригіналу історії!

Я бачив фішинговий сайт, який захопив ботів безпеки

About Author

КОМЕНТАРІ

ПОВІСИТИ БИРКИ

ЦЯ СТАТТЯ БУЛА ПРЕДСТАВЛЕНА В

Related Stories

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps