Śledzenie przebiegłych stron phishingowych

W świecie oszustw internetowych, tak jak w prawdziwym życiu, im dłużej złoczyńcy mogą działać, nie dając się złapać, tym więcej pieniędzy mogą zarobić. Eksperci odkryli, że wielu phisherów – oszustów, którzy używają fałszywych stron internetowych, aby nakłonić użytkowników do podania cennych danych osobowych – znaleźli sztuczkę, która utrudnia dobrym ludziom ich zablokowanie lub zamknięcie.

Zniknął phishing: Naukowcy z Indiana University – od lewej do prawej, Andrew Kalafut, Youngsang Shin i Minaxi Gupta – badają sztuczkę wykorzystywaną do utrudniania wykrywania i blokowania stron phishingowych.

Sztuczka, zwana strumieniem, pozwala fałszywej witrynie na bardzo szybką zmianę adresu w Internecie, co utrudnia obrońcom blokowanie tych witryn lub ostrzeganie niczego niepodejrzewających użytkowników. Według badań opublikowanych niedawno w czasopiśmie Bezpieczeństwo i prywatność IEEE , około 10 procent stron phishingowych używa strumienia do ukrywania się.

Flux korzysta z internetowego systemu nazw domen, który odpowiada za dopasowanie adresu internetowego wpisanego do przeglądarki z serwerem, na którym znajduje się witryna. Gdy użytkownik próbuje odwiedzić stronę sieci Web, system nazw domen najpierw kieruje użytkownika do serwera nazw, który przechowuje aktualną listę adresów witryn. Ten serwer nazw następnie informuje przeglądarkę użytkownika, gdzie znaleźć żądaną witrynę.

Zwykle tylko niewielka liczba komputerów obsługuje kopie witryny — tylko tyle, aby utrzymać ją, jeśli coś pójdzie nie tak. Jednak oszukańcze witryny to zupełnie inna historia. Strony phishingowe są często hostowane za pośrednictwem botnetów — tysięcy przejętych maszyn rozmieszczonych na całym świecie.

Te maszyny nie należą do łotrów, one należą do ciebie, do mnie i naszych babć, mówi Minaxi Gupta , adiunkt informatyki na Uniwersytecie Indiana, który był zaangażowany w badania. Wyjaśnia, że ​​ponieważ phisherzy mają dostęp do tak wielu maszyn, mogą wykorzystać je wszystkie do szybkiego przemieszczania witryny, odstraszając obrońców od tropu, jednocześnie utrzymując witrynę dostępną.

Aby użyć strumienia, phisher musi kontrolować nazwę domeny, co daje mu prawo do kontrolowania swojego serwera nazw. Następnie phisher ustawia serwer nazw w taki sposób, aby kierował każdego nowego odwiedzającego do innego zestawu maszyn, szybko przechodząc przez tysiące adresów dostępnych w botnecie. Gupta zauważa, że ​​fluktuacja jest najbardziej efektywna, gdy phisher zmienia również lokalizację serwera nazw. Jeśli serwer nazw przenosi się również do różnych lokalizacji w Internecie, obrońcom podwójnie trudno jest wskazać centralną lokalizację, w której można zamknąć fałszywą witrynę. Grupa Gupty odkryła, że ​​83 procent stron phishingowych, które wykorzystywały w ten sposób strumień, trwało dłużej niż jeden dzień przed zablokowaniem, w porównaniu z 65-procentowym wskaźnikiem przeżycia stron, które nie korzystały z tego strumienia.

Grupa identyfikuje również metody wykrywania strumienia i sugeruje, że wykrywanie strumienia powinno być wbudowane w sam system nazw domen. Ponieważ użycie tej techniki prawdopodobnie oznacza, że ​​witryna jest fałszywa, sam system może pomóc chronić niczego niepodejrzewających użytkowników przed odwiedzaniem tych witryn.

Skrócenie czasu wykrywania nawet o kilka godzin może zrobić znaczną różnicę – mówi Alper Caglayan, prezes Milcord , firma z siedzibą w Waltham w stanie Massachusetts, która gromadzi dane o botnetach w czasie rzeczywistym. Jeśli potrafią działać nawet przez jeden dzień, to już zarobili zbyt dużo pieniędzy – dodaje.

Caglayan zauważa, że ​​istnieją pewne legalne sposoby wykorzystania strumienia – na przykład w celu wydajnego dostarczania treści multimedialnych – ale twierdzi, że sposób, w jaki botnet wykorzystuje strumień, powinien wyglądać inaczej. Na przykład maszyny botnetu są rozproszone po całym świecie w sposób, który nie miałby sensu w przypadku legalnej firmy.

Niektórzy eksperci uważają, że do powstrzymania witryn phishingowych potrzebne jest wielostronne podejście. Firma Caglayan świadczy usługę, która pomaga dostawcom usług internetowych i innym administratorom dużych sieci znaleźć i zamknąć zainfekowane maszyny w ich sieciach.

Niektóre przeglądarki internetowe używają również czarnych list do ostrzegania użytkowników przed fałszywymi witrynami. Ale sztuczki, takie jak flux, sprawiają, że czarne listy są prawie niemożliwe, aby były na tyle aktualne, aby były przydatne. Caglayan spodziewa się, że w przyszłości przeglądarki będą musiały budować systemy, które mogą samodzielnie wykrywać oszustwa.

Wykrywanie strumienia pomoże tylko osobom, które korzystają z jakiegoś rodzaju usług blokujących, mówi Ręce Srivastava , główny oficer techniczny Cyveillance , firma ochroniarska z siedzibą w Arlington w stanie Wirginia. Aby skutecznie poradzić sobie z atakiem polegającym na szybkim przepływie, konieczne jest usunięcie domeny z Internetu, a to wymaga współpracy z rejestratorem lub rejestrem tej domeny, mówi. Może to być trudne, ponieważ niektóre domeny znajdują się w krajach, w których obowiązują luźne przepisy dotyczące oszustw internetowych. Prostsze przeszkody, takie jak bariera językowa, mogą również pozostawić fałszywą witrynę w działaniu przez dłuższy czas.

Gupta mówi, że, podobnie jak w przypadku większości przestępstw internetowych, fluktuacja jest tylko jednym z elementów większej gry w kotka i myszkę. Nie możesz wygrać tej gry, mówi. Musisz tylko nieustannie wykrywać ich środki i dostosowywać się do nich.

ukryć