An Analysis of Architectural and Operational Dynamics of Phishkits in the Wild
Diese Arbeit analysiert 1.300 moderne Phishkits, die zwischen 2020 und 2023 gesammelt wurden, um aufzuzeigen, dass sie trotz ihrer operativen Diversität größtenteils auf vorhersehbaren, wiederverwendbaren Komponenten basieren und es an ausgefeilten Mechanismen zur Umgehung von Sicherheitsmaßnahmen mangelt, was darauf hindeutet, dass eine groß angelegte Erkennung dieser Angriffe machbar ist.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich das Internet als eine riesige, geschäftige Stadt vor, in der jeder versucht, sein Ziel zu erreichen. In dieser Stadt gibt es hinterlistige Trickbetrüger, die gefälschte Ladengeschäfte errichten, die exakt wie echte Banken, Social-Media-Zentren oder E-Mail-Büros aussehen. Sie warten darauf, dass Menschen vorbeilaufen, in der Hoffnung, dass diese hineingehen, um ihre Post zu prüfen oder Bargeld abzuheben, nur um dann deren Schlüssel und Geheimnisse zu stehlen. Dies ist die Welt des „Phishing“, eines digitalen Betrugs, der es schon seit langer Zeit gibt. Aber hier kommt der Clou: Diese Trickbetrüger bauen ihre gefälschten Läden meist nicht von Grund auf neu, Stein für Stein. Stattdessen kaufen sie vorgefertigte „Konstruktionskits“, die Phishkits genannt werden. Stellen Sie sich diese Kits wie ein „Lego-Set für Betrug“ vor. Man kauft den Karton, setzt die Teile zusammen und – bumm – schon hat man eine überzeugende gefälschte Bank. Diese Kits kommen mit speziellen Anweisungen dazu, wie man sich vor den Sicherheitswachen der Stadt (wie Suchmaschinen oder Antiviren-Software) versteckt und wie man die gestohlenen Schlüssel heimlich an die Bösewichte zurückschickt. Zu verstehen, wie diese Kits funktionieren, ist entscheidend, denn wenn wir wissen, wie die Lego-Sets gebaut sind, können wir herausfinden, wie man die gefälschten Gebäude erkennt, bevor jemand zu Schaden kommt.
Lassen Sie uns nun einen Blick darauf werfen, was ein Team von Forschern der Florida International University getan hat. Sie beschlossen, eine riesige Lupe über 1.300 dieser „Betrugs-Lego-Sets“ (Phishkits) zu halten, die zwischen 2020 und 2023 im Internet kursierten. Sie wollten sehen, wie die Bösen diese Kits verwendeten, welche Tricks sie anwandten, um sich zu verstecken, und wie sie Daten stahlen.
Hier ist, was sie fanden, und es ist ein wenig überraschend: Die meisten dieser Betrugskits sind eigentlich ziemlich langweilig und vorhersehbar.
Die Forscher entdeckten, dass die Bösen zwar clever, aber auch effizient sind. Sie fanden heraus, dass viele dieser Kits nach exakt denselben Bauplänen erstellt wurden. Es ist so, als ob jeder Kriminelle in einer Stadt beschließen würde, seine gefälschte Bank mit denselben drei Anweisungen aus demselben Handbuch zu bauen. Die Forscher sahen, dass die „Kernteile“ dieser Kits – die Teile, die die gefälschte Login-Seite echt aussehen lassen, die Teile, die die Seite vor Sicherheits-Scannern verbergen, und die Teile, die die gestohlenen Daten wegschicken – über hunderte verschiedene Kits hinweg fast identisch waren. Tatsächlich fanden sie heraus, dass 284 der Kits (etwa 21,8 %) nicht einmal versuchten, sich zu verstecken! Sie ließen ihre Türen einfach weit offen, was es Sicherheitssystemen unglaublich leicht machte, sie zu entdecken.
Wenn die Bösen doch versuchten, sich zu verstecken, nutzten sie sehr alte, bekannte Tricks. Sie prüften, wer ihre gefälschte Website besuchte. Wenn der Besucher wie ein Sicherheitswächter, ein Suchmaschinen-Roboter oder ein Universitätsforscher aussah, sagte das Kit: „Oh, du bist keine echte Person! Geh weg!“ und zeigte statt des Betrugs eine gefälschte „404 Error“-Seite an. Sie blockierten Millionen spezifischer Adressen, einschließlich derer von großen Technologieunternehmen, Universitäten und sogar einiger VPN-Dienste. Aber hier ist der entscheidende Punkt: Sie verwendeten immer wieder dieselben Listen mit blockierten Adressen. Es ist, als würde ein Dieb für jedes Haus, das er ausraubt, dasselbe „Eintritt verboten“-Schild benutzen.
Die Forscher warfen auch einen Blick hinter den Vorhang, um zu sehen, wie die Diebe ihre gestohlene Beute erhielten. Sie fanden heraus, dass die meisten der Bösen, anstatt komplizierte, geheime unterirdische Tunnel zu nutzen, beliebte, alltägliche Messaging-Apps (wie Telegram) verwendeten, um die gestohlenen Passwörter und Kreditkartennummern zu versenden. Es ist, als würde ein Dieb seinem Partner per einer ganz normalen, öffentlichen Telefon-App eine Nachricht schicken: „Ich habe die Schlüssel!“. Das Team interagierte sogar mit diesen Messaging-Bots, um zu sehen, was passierte. Sie fanden tausende Nachrichten, die echte Kreditkartennummern und Login-Codes enthielten. Sie informierten die Kreditkartenunternehmen verantwortungsbewusst über diese Lecks, und die Unternehmen annullierten die aktiven Karten, um die Opfer zu schützen.
Was ist also die große Erkenntnis? Das Paper legt nahe, dass, da diese Scammer so sehr auf diese vorgefertigten Copy-Paste-Kits angewiesen sind, ihr Verhalten hochgradig vorhersehbar ist. Sie erfinden nicht jeden Tag neue, magische Wege, um sich zu verstecken; sie verwenden einfach immer wieder dieselben alten Tricks und denselben alten Code. Das ist eigentlich eine gute Nachricht für die Menschen, die versuchen, sie zu stoppen. Wenn die Bösen alle dieselben Lego-Anweisungen verwenden, können Verteidiger bessere „Betrugs-Detektoren“ bauen, die genau nach diesen spezifischen Mustern suchen. Die Forscher kommen zu dem Schluss, dass Phishing zwar immer noch eine riesige Bedrohung darstellt, die Tatsache, dass so viele dieser Angriffe aus denselben vorhersehbaren Teilen gebaut sind, es jedoch einfacher macht, sie auf frischer Tat zu ertappen – vorausgesetzt, wir können Werkzeuge bauen, die klug genug sind, um die vertrauten Muster im Chaos zu erkennen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.