Эксперты показали, как выявить фишинговый MitM-сайт по сетевому отпечатку

Эксперты показали, как выявить фишинговый MitM-сайт по сетевому отпечатку

Эксперты показали, как выявить фишинговый MitM-сайт по сетевому отпечатку

Разработанная исследователями методика, полагающаяся на ИИ, позволяет с высокой точностью установить наличие фишингового сайта между сервисом-мишенью и его пользователями. Такие угрозы обычно плохо детектятся и редко попадают в блоклисты.

Для начала сборная команда из Университета штата Нью-Йорк в Стоуни-Брук и Palo Alto Networks изучила (PDF) 13 ходовых фишинг-паков MitM. Спрос на такой продвинутый инструментарий, упакованный в ZIP-файл, последнее время растет: в отличие от обычных тулкитов для фишинга он позволяет воровать учетные данные на лету, из запросов пользователя к целевому сервису.

При MitM-сценарии атаки поддельный сайт-зеркало размещается между точками обмена и ведет перехват трафика, извлекая нужную информацию из сетевых пакетов. В итоге злоумышленник сможет получить не только логины-пароли, но и куки сессий, а также обойти двухфакторную аутентификацию (2FA).

 

Достоверность фишинговых страниц при использовании такого прокси не столь уж важна: иллюзию для жертвы поддерживает возможность просмотра других страниц сайта-ловушки после аутентификации. Сервис-оригинал при этом тоже вряд ли заметит подмену.

Как оказалось, подобные фейки живут дольше: исследование показало, что в блоклисты попадает лишь 43,7% доменов и 18,9% IP-адресов, ассоциированных с MitM-фишингом. Предложенный метод, по словам авторов, позволяет избавиться от слепой зоны и повысить точность детектирования до 99,9%.

Для выявления умело спрятанных фальшивок исследователи создали самообучаемый классификатор, работающий с сетевыми данными — TLS-отпечатками, временем передачи и приема запросов. Сбор образцов для анализа проводился автоматизированными средствами — с помощью инструмента PHOCA собственной разработки, который выискивал нужную информацию в доступных базах по фишингу, таких как OpenPhish и PhishTank.

 

В качестве основного критерия были выбраны задержки: использование прокси-сервера (в данном случае с фиш-паком MitM) замедляет процедуру передачи и подтверждения запросов. При перехвате TLS-запросов отклонение от нормы становится еще более заметным.

За год экспериментаторам удалось выявить 1220 сайтов, созданных для MitM-фишинга, — в основном в США и Европе, с хостингом у Amazon, DigitalOcean, Microsoft либо Google. Фальшивки чаще всего имитировали Instagram, Google, Facebook, Microsoft Outlook, PayPal, Apple, Twitter, Coinbase, Yahoo и LinkedIn. Изучение 260 таких ловушек показало, что за полгода они получили 6403 запроса от пользователей.

 

Фреймворк PHOCA, по словам исследователей, легко встраивается в существующую инфраструктуру. Он может, к примеру, расширить возможности веб-сервиса блоклистов или оградить популярный сайт от вредоносных запросов, генерируемых с помощью фишингового MitM-пака. Тестирование показало, что пробная методика позволяет обойти средства маскировки из арсенала таких тулкитов и эффективно выявить прежде скрытый фишинговый контент.

Ozon Банк, Яндекс Банк и WB Банк попали под новые санкции ЕС

Евросоюз утвердил 21-й пакет санкций против России — под ограничения попали сразу 94 банка, Московская биржа и несколько платёжных организаций. Финансовый сектор получил внушительный чёрный список, но его участники хором отвечают: работаем как обычно.

С 23 июля санкции действуют против Россельхозбанка, «Дом.рф», «МТС-банка», «Ак Барса», «Уралсиба», «Зенита», «Абсолют банка», WB Банка, Ozon Банка, «Точки», «Яндекс Банка», «Почта Банка» и других организаций.

В список также включили НКО «Мобильная карта» и РНКО «Платёжный Центр».

Персональные ограничения затронули зампреда Банка России Сергея Белова, главу РЖД Олега Белозёрова и других лиц. Кроме финансов, новый пакет касается энергетики, торговли и криптовалют.

Московская биржа заявила, что торги и расчёты продолжатся без изменений. Ozon Банк, «Точка» и «Финам» тоже заверили клиентов, что сервисы и платежи работают в штатном режиме. Брокер «Финам» под санкции не попал. АФК «Система» назвала решение ЕС незаконным и пообещала справиться с ограничениями.

Однако первые неудобства уже появились. Платёжная система «Золотая Корона» остановила переводы в Грузию и ряд других стран: в поддержке подтвердили, что некоторые направления временно недоступны.

Следующим сюрпризом может стать исчезновение банковских приложений из App Store и Google Play. Ранее после санкций из магазинов уже удаляли приложения российских банков и VK. Пока это лишь вероятный сценарий, но владельцам затронутых банков лучше не спешить удалять установленные приложения.

В российской миссии при ЕС предупредили об адекватном ответе.

RSS: Новости на портале Anti-Malware.ru