Αποκωδικοποίηση σύγχρονων τακτικών επιθέσεων ηλεκτρονικού "ψαρέματος" (phishing): Από τους εργαζόμενους του Cloudflare έως το λαθρεμπόριο HTML

Μέρος 1: Η απάτη με τους εργαζόμενους στο Cloudflare

Ερευνητές κυβερνοασφάλειας έχουν προειδοποιήσει για αρκετές καμπάνιες ηλεκτρονικού "ψαρέματος" (phishing) που εκμεταλλεύονται το Cloudflare Workers για τη συλλογή διαπιστευτηρίων σύνδεσης χρηστών. Αυτές οι ιστοσελίδες ηλεκτρονικού "ψαρέματος" (phishing) στοχεύουν χρήστες υπηρεσιών όπως η Microsoft, το Gmail, το Yahoo! και το cPanel Webmail.

Εδώ, ο εισβολέας χρησιμοποίησε μια τεχνική που ονομάζεται " Adversary-in-the- Middle" (AitM). Για να πραγματοποιήσει την επίθεση, ο εισβολέας χρησιμοποίησε τους Cloudflare Workers ως ψεύτικο ενδιάμεσο διακομιστή. Όταν ένας χρήστης είχε πρόσβαση σε μια νόμιμη σελίδα σύνδεσης, οι Cloudflare Workers υποκλέπτονταν και προωθούσαν τα δεδομένα μεταξύ του χρήστη και της πραγματικής σελίδας σύνδεσης.

Μέθοδοι «απάτης μεσαζόντων»

Ουσιαστικά, αυτός ο τύπος επίθεσης θα πραγματοποιηθεί μέσω των ακόλουθων τεσσάρων βημάτων:

• Βήμα 1: Ο χάκερ στέλνει email ηλεκτρονικού "ψαρέματος" (phishing) στον χρήστη.

Οι εισβολείς στέλνουν ηλεκτρονικά μηνύματα ηλεκτρονικού "ψαρέματος" (phishing) που περιέχουν συνδέσμους προς ψεύτικους ιστότοπους. Αυτά τα ηλεκτρονικά μηνύματα ενδέχεται να είναι πλαστογραφημένα από αξιόπιστη πηγή και να περιέχουν μηνύματα που πείθουν τους χρήστες να κάνουν κλικ στον σύνδεσμο.

• Βήμα 2: Ο χρήστης κάνει κλικ στο email και ανακατευθύνεται σε έναν ιστότοπο ηλεκτρονικού "ψαρέματος" (phishing) που διαπερνά το Cloudflare.

Οι χρήστες λαμβάνουν email και κάνουν κλικ σε συνδέσμους που βρίσκονται μέσα σε αυτά, οδηγώντας τους σε έναν ψεύτικο ιστότοπο. Αυτός ο ιστότοπος φιλοξενείται στο Cloudflare Workers, επομένως τα αιτήματα των χρηστών υποβάλλονται μέσω του Cloudflare Workers.

• Βήμα 3: Το Cloudflare προωθεί το αίτημα του χρήστη στον νόμιμο ιστότοπο.

Όταν ένας χρήστης εισάγει στοιχεία σύνδεσης σε έναν ψεύτικο ιστότοπο, το Cloudflare Workers καταγράφει αυτές τις πληροφορίες (συμπεριλαμβανομένου του ονόματος χρήστη, του κωδικού πρόσβασης και του κωδικού επαλήθευσης δύο παραγόντων, εάν υπάρχει). Στη συνέχεια, το Cloudflare Workers προωθεί αυτό το αίτημα στον νόμιμο ιστότοπο. Οι χρήστες εξακολουθούν να μπορούν να συνδεθούν στον νόμιμο ιστότοπο χωρίς να παρατηρήσουν καμία διαφορά.

• Βήμα 4: Το Cloudflare καταγράφει τα στοιχεία των χρηστών και τα στέλνει στον χάκερ.

Οι εργαζόμενοι του Cloudflare καταγράφουν τα στοιχεία σύνδεσης του χρήστη και τα στέλνουν σε έναν εισβολέα. Ο εισβολέας μπορεί στη συνέχεια να χρησιμοποιήσει αυτές τις πληροφορίες για να αποκτήσει πρόσβαση στον λογαριασμό του χρήστη και να εκτελέσει κακόβουλες δραστηριότητες.

Μέρος 2: Τεχνική λαθραίας μεταφοράς δεδομένων HTML και στρατηγικές συλλογής πληροφοριών σύνδεσης

Το λαθρεμπόριο HTML είναι μια εξελιγμένη μέθοδος επίθεσης που χρησιμοποιείται από εισβολείς για να δημιουργούν κρυφά σελίδες ηλεκτρονικού "ψαρέματος" (phishing) απευθείας στο πρόγραμμα περιήγησης του χρήστη.

Πώς να εκτελέσετε μια επίθεση λαθρεμπορίας HTML.

Ουσιαστικά, η επίθεση λαθρεμπορίας HTML εκτυλίσσεται στα ακόλουθα πέντε κύρια βήματα:

• Βήμα 1: Ο εισβολέας στέλνει ένα email ηλεκτρονικού "ψαρέματος" (phishing).

Ο εισβολέας δημιουργεί ένα email ηλεκτρονικού "ψαρέματος" (phishing), μιμούμενος μια αξιόπιστη πηγή, όπως έναν οργανισμό ή μια υπηρεσία που χρησιμοποιεί συχνά το θύμα. Αυτό το email περιέχει έναν κακόβουλο σύνδεσμο ή συνημμένο HTML. Το περιεχόμενο του email συχνά περιλαμβάνει ένα πειστικό ή επείγον μήνυμα που έχει σχεδιαστεί για να δελεάσει το θύμα να ανοίξει τον σύνδεσμο ή το συνημμένο, όπως μια ειδοποίηση σχετικά με έναν κλειδωμένο λογαριασμό ή ένα σημαντικό έγγραφο που χρειάζεται άμεση προσοχή.

• Βήμα 2: Ο χρήστης λαμβάνει το email και ανοίγει τον σύνδεσμο/συνημμένο.

Οι χρήστες λαμβάνουν email ηλεκτρονικού "ψαρέματος" (phishing) και, ανυποψίαστοι, κάνουν κλικ στον σύνδεσμο ή ανοίγουν το συνημμένο HTML. Όταν το κάνουν αυτό, το πρόγραμμα περιήγησής τους φορτώνει και εκτελεί τον κακόβουλο κώδικα JavaScript που περιέχεται στο αρχείο ή τον σύνδεσμο HTML. Αυτός ο κώδικας έχει σχεδιαστεί για να εκτελείται απευθείας στο πρόγραμμα περιήγησης του χρήστη χωρίς να απαιτούνται πρόσθετες λήψεις λογισμικού.

• Βήμα 3: Ο κώδικας JavaScript δημιουργεί τη σελίδα ηλεκτρονικού "ψαρέματος" (phishing) απευθείας στο πρόγραμμα περιήγησης του χρήστη.

Ο κακόβουλος κώδικας JavaScript δημιουργεί αυτόματα μια σελίδα ηλεκτρονικού "ψαρέματος" (phishing) και την εμφανίζει στο πρόγραμμα περιήγησης του χρήστη. Αυτή η σελίδα ηλεκτρονικού "ψαρέματος" (phishing) συχνά μοιάζει πολύ με τη νόμιμη σελίδα σύνδεσης μιας ηλεκτρονικής υπηρεσίας, όπως η Microsoft, το Gmail ή οποιαδήποτε άλλη υπηρεσία που χρησιμοποιεί τακτικά το θύμα. Αυτό εμποδίζει το θύμα να συνειδητοποιήσει ότι βρίσκεται σε μια ψεύτικη σελίδα.

• Βήμα 4: Ο χρήστης εισάγει τα στοιχεία σύνδεσής του στη σελίδα ηλεκτρονικού "ψαρέματος" (phishing).

Αναμφίβολα, οι χρήστες εισάγουν τα στοιχεία σύνδεσής τους στον ιστότοπο ηλεκτρονικού "ψαρέματος" (phishing). Αυτό περιλαμβάνει ονόματα χρήστη, κωδικούς πρόσβασης και πιθανώς κωδικούς ελέγχου ταυτότητας δύο παραγόντων (MFA), εφόσον ζητηθούν. Ο ιστότοπος ηλεκτρονικού "ψαρέματος" έχει σχεδιαστεί για να καταγράφει κρυφά όλες αυτές τις πληροφορίες.

• Βήμα 5: Τα στοιχεία σύνδεσης αποστέλλονται στον διακομιστή του χάκερ.

Όταν ένας χρήστης εισάγει τα στοιχεία σύνδεσής του σε έναν ιστότοπο ηλεκτρονικού "ψαρέματος" (phishing), κακόβουλος κώδικας JavaScript στέλνει αυτές τις πληροφορίες στον διακομιστή του χάκερ. Αυτό επιτρέπει στον εισβολέα να συλλέξει τα διαπιστευτήρια σύνδεσης του θύματος, συμπεριλαμβανομένου του ονόματος χρήστη, του κωδικού πρόσβασης και του κωδικού ελέγχου ταυτότητας δύο παραγόντων. Με αυτές τις πληροφορίες, ο εισβολέας μπορεί να αποκτήσει μη εξουσιοδοτημένη πρόσβαση στον λογαριασμό του θύματος.

Μέρος 3: Συστάσεις για τους χρήστες σχετικά με τα προληπτικά μέτρα

Για να προστατευτούν από τις ολοένα και πιο εξελιγμένες μεθόδους κυβερνοεπιθέσεων, όπως αναφέρθηκε παραπάνω, οι χρήστες πρέπει να λάβουν διάφορα προληπτικά μέτρα για την ελαχιστοποίηση των κινδύνων. Ακολουθούν ορισμένες σημαντικές συστάσεις:

• Ευαισθητοποίηση σχετικά με την κυβερνοασφάλεια

Στο σημερινό ψηφιακό περιβάλλον, οι μέθοδοι κυβερνοεπιθέσεων εξελίσσονται συνεχώς και γίνονται ολοένα και πιο εξελιγμένες. Επομένως, η τακτική ενημέρωση των γνώσεων σχετικά με τις τελευταίες απειλές στον κυβερνοχώρο είναι εξαιρετικά σημαντική. Οι χρήστες θα πρέπει να ακολουθούν προληπτικά αξιόπιστες και ενημερωμένες πηγές πληροφοριών για να κατανοούν τους κινδύνους και να γνωρίζουν πώς να τους αποτρέπουν.

• Χρήση ελέγχου ταυτότητας δύο παραγόντων (2FA):

Ο έλεγχος ταυτότητας δύο παραγόντων προσθέτει ένα επιπλέον επίπεδο ασφάλειας. Ακόμα κι αν ένας εισβολέας αποκτήσει τα διαπιστευτήρια σύνδεσής σας, θα χρειαστεί έναν δεύτερο κωδικό επαλήθευσης για να αποκτήσει πρόσβαση στον λογαριασμό σας.

• Πάντα να ελέγχετε και να επαληθεύετε πριν αναλάβετε δράση.

Ελέγξτε προσεκτικά όλα τα συνημμένα και τους συνδέσμους πριν κάνετε κλικ.

ΣΚΕΦΤΕΙΤΕ ΤΟ ΠΡΟΣΕΚΤΙΚΑ ΠΡΙΝ ΚΑΝΕΤΕ ΚΛΙΚ ΜΕ ΤΟ ΠΟΝΤΙΚΙ!!!

• Χρησιμοποιήστε λογισμικό προστασίας από ιούς.

Το λογισμικό προστασίας από ιούς είναι ικανό να σαρώνει και να ανιχνεύει διάφορους τύπους κακόβουλου λογισμικού, όπως ιούς, trojans, ransomware, spyware και άλλες απειλές. Μόλις εντοπιστεί, θα αφαιρέσει ή θα απομονώσει το κακόβουλο λογισμικό για να προστατεύσει το σύστημά σας.

Στη σημερινή ψηφιακή εποχή, οι μέθοδοι κυβερνοεπιθέσεων γίνονται ολοένα και πιο εξελιγμένες και δύσκολο να εντοπιστούν. Η κατανόηση και η πρόληψη καμπανιών ηλεκτρονικού "ψαρέματος" (phishing) χρησιμοποιώντας Cloudflare Workers και HTML Smuggling είναι ζωτικής σημασίας. Για να προστατευτούν, οι χρήστες πρέπει να ενημερώνουν τακτικά τις γνώσεις τους σχετικά με την κυβερνοασφάλεια, να χρησιμοποιούν διαχειριστές κωδικών πρόσβασης, να εγκαθιστούν λογισμικό προστασίας από ιούς και να εφαρμόζουν έλεγχο ταυτότητας δύο παραγόντων. Αυτά τα μέτρα όχι μόνο βοηθούν στην προστασία των προσωπικών πληροφοριών, αλλά συμβάλλουν και στην ενίσχυση της κυβερνοασφάλειας για ολόκληρη την κοινότητα.

— Συντάχθηκε από την Επιτροπή Ασφάλειας και Τάξης —

Πηγή: https://www.misa.vn/147167/giai-ma-cac-chien-thuat-tan-cong-phishing-hien-dai-tu-cloudflare-workers-den-html-smuggling/