Dekódování moderních taktik phishingových útoků: Od pracovníků Cloudflare po pašování HTML

Část 1: Podvodná kampaň s pracovníky Cloudflare

Výzkumníci v oblasti kybernetické bezpečnosti varovali před několika phishingovými kampaněmi, které zneužívají Cloudflare Workers ke shromažďování přihlašovacích údajů uživatelů. Tyto phishingové webové stránky cílí na uživatele služeb, jako jsou Microsoft, Gmail, Yahoo! a cPanel Webmail.

Útočník zde použil techniku ​​zvanou „ Adversary-in-the- Middle“ (AitM). K provedení útoku použil Cloudflare Workers jako falešný zprostředkující server. Když uživatel přistupoval k legitimní přihlašovací stránce, Cloudflare Workers zachytil a přeposlal data mezi uživatelem a skutečnou přihlašovací stránkou.

Metody „podvodů přes zprostředkovatele“

V podstatě k tomuto typu útoku dojde prostřednictvím následujících čtyř kroků:

• Krok 1: Hacker rozesílá uživateli phishingové e-maily.

Útočníci rozesílají phishingové e-maily s odkazy na falešné webové stránky. Tyto e-maily mohou být falešné a pocházejí z důvěryhodného zdroje a obsahovat zprávy, které uživatele přesvědčují ke kliknutí na odkaz.

• Krok 2: Uživatel klikne na e-mail a je přesměrován na phishingovou webovou stránku, která prochází přes Cloudflare.

Uživatelé dostávají e-maily a klikají na odkazy v nich, což je vede na falešný web. Tento web je hostován na platformě Cloudflare Workers, takže uživatelské požadavky procházejí přes Cloudflare Workers.

• Krok 3: Cloudflare přepošle požadavek uživatele na legitimní webovou stránku.

Když uživatel zadá přihlašovací údaje na falešné webové stránce, Cloudflare Workers tyto informace zaznamená (včetně uživatelského jména, hesla a případně kódu pro dvoufaktorové ověřování). Cloudflare Workers poté tento požadavek přepošle na legitimní webovou stránku. Uživatelé se i nadále mohou přihlásit na legitimní webovou stránku, aniž by si všimli jakéhokoli rozdílu.

• Krok 4: Cloudflare zaznamenává uživatelské informace a odesílá je hackerovi.

Cloudflare Workers zaznamenávají přihlašovací údaje uživatelů a odesílají je útočníkovi. Útočník pak může tyto informace použít k přístupu k uživatelskému účtu a provedení škodlivých akcí.

Část 2: Technika pašování HTML a strategie sběru přihlašovacích údajů

Pašování HTML je sofistikovaná metoda útoku, kterou útočníci používají k nenápadnému vytváření phishingových stránek přímo v prohlížeči uživatele.

Jak provést útok pašováním HTML.

Útok pašování HTML se v podstatě odehrává v následujících pěti hlavních krocích:

• Krok 1: Útočník odešle phishingový e-mail.

Útočník vytvoří phishingový e-mail, ve kterém se vydává za důvěryhodný zdroj, například za organizaci nebo službu, kterou oběť často používá. Tento e-mail obsahuje škodlivý odkaz nebo HTML přílohu. Obsah e-mailu často obsahuje přesvědčivou nebo naléhavou zprávu, která má oběť nalákat k otevření odkazu nebo přílohy, například oznámení o uzamčeném účtu nebo důležitém dokumentu, který vyžaduje okamžitou pozornost.

• Krok 2: Uživatel obdrží e-mail a otevře odkaz/přílohu.

Uživatelé dostávají phishingové e-maily a nic netušící kliknou na odkaz nebo otevřou HTML přílohu. Když tak učiní, jejich prohlížeč načte a spustí škodlivý kód JavaScript obsažený v HTML souboru nebo odkazu. Tento kód je navržen tak, aby se spouštěl přímo v prohlížeči uživatele bez nutnosti stahování dalšího softwaru.

• Krok 3: Kód JavaScript vytvoří phishingovou stránku přímo v prohlížeči uživatele.

Škodlivý kód JavaScript automaticky generuje phishingovou stránku a zobrazuje ji v prohlížeči uživatele. Tato phishingová stránka často vypadá velmi podobně jako legitimní přihlašovací stránka online služby, jako je Microsoft, Gmail nebo jakákoli jiná služba, kterou oběť pravidelně používá. To oběti zabrání v uvědomění si, že se nachází na falešné stránce.

• Krok 4: Uživatel zadá své přihlašovací údaje na phishingové stránce.

Uživatelé nepochybně zadávají na phishingové stránce své přihlašovací údaje. Patří sem uživatelská jména, hesla a případně i kódy dvoufaktorového ověřování (MFA), pokud jsou vyžadovány. Phishingová stránka je navržena tak, aby všechny tyto informace tajně zaznamenávala.

• Krok 5: Přihlašovací údaje jsou odeslány na server hackera.

Když uživatel zadá své přihlašovací údaje na phishingovém webu, škodlivý kód JavaScript odešle tyto informace na server hackera. To útočníkovi umožní shromáždit přihlašovací údaje oběti, včetně uživatelského jména, hesla a kódu dvoufaktorového ověřování. S těmito informacemi může útočník získat neoprávněný přístup k účtu oběti.

Část 3: Doporučení pro uživatele ohledně preventivních opatření

Aby se uživatelé chránili před stále sofistikovanějšími metodami kybernetických útoků, jak je uvedeno výše, musí přijmout několik preventivních opatření k minimalizaci rizik. Zde je několik důležitých doporučení:

• Zvyšování povědomí o kybernetické bezpečnosti

V dnešním digitálním prostředí se metody kybernetických útoků neustále vyvíjejí a stávají se stále sofistikovanějšími. Proto je pravidelná aktualizace znalostí o nejnovějších kybernetických hrozbách nesmírně důležitá. Uživatelé by měli proaktivně sledovat spolehlivé a aktuální informační zdroje, aby pochopili rizika a věděli, jak jim předcházet.

• Použití dvoufaktorového ověřování (2FA):

Dvoufaktorové ověřování přidává další vrstvu zabezpečení. I když útočník získá vaše přihlašovací údaje, bude pro přístup k vašemu účtu stále potřebovat druhý ověřovací kód.

• Vždy si to ověřte a zkontrolujte, než podniknete kroky.

Před kliknutím pečlivě zkontrolujte všechny přílohy a odkazy.

DŮKLADNĚ SI ROZMYŠLETE, NEŽ KLIKNETE MYŠÍ!!!

• Používejte antivirový software.

Antivirový software dokáže skenovat a detekovat různé typy malwaru, jako jsou viry, trojské koně, ransomware, spyware a další hrozby. Po detekci malware odstraní nebo izoluje, aby ochránil váš systém.

V dnešní digitální době jsou metody kybernetických útoků stále sofistikovanější a obtížněji odhalitelné. Pochopení a prevence phishingových kampaní pomocí Cloudflare Workers a HTML Smuggling je klíčová. Aby se uživatelé chránili, musí pravidelně aktualizovat své znalosti kybernetické bezpečnosti, používat správce hesel, instalovat antivirový software a implementovat dvoufaktorové ověřování. Tato opatření nejen pomáhají chránit osobní údaje, ale také přispívají ke zvýšení kybernetické bezpečnosti celé komunity.

— Sestavil Výbor pro bezpečnost a pořádek —

Zdroj: https://www.misa.vn/147167/giai-ma-cac-chien-thuat-tan-cong-phishing-hien-dai-tu-cloudflare-workers-den-html-smuggling/