An Analysis of Architectural and Operational Dynamics of Phishkits in the Wild
Questo articolo analizza 1.300 phishkit moderni raccolti tra il 2020 e il 2023 per rivelare che, nonostante la loro diversità operativa, la maggior parte di essi si basa su componenti prevedibili e riutilizzabili e manca di meccanismi di evasione sofisticati, suggerendo che il rilevamento su larga scala di questi attacchi è fattibile.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Immaginate l'internet come una città enorme e frenetica dove tutti cercano di raggiungere la propria destinazione. In questa città, ci sono degli astuti imbroglioni che allestiscono finti negozi che sembrano esattamente le vere banche, i centri dei social media o gli uffici delle email. Aspettano che la gente passi di lì, sperando che entrino per controllare la posta o prelevare contanti, solo per rubare loro le chiavi e i segreti. Questo è il mondo del "phishing", una truffa digitale che esiste da molto tempo. Ma ecco il colpo di scena: questi imbroglioni di solito non costruiscono i loro negozi falsi da zero, mattone dopo mattone. Invece, acquistano dei "kit di costruzione" pre-fatti chiamati phishkit. Pensate a questi kit come a dei "set Lego per truffe". Compri la scatola, incastri i pezzi e boom—hai una banca falsa e convincente. Questi kit arrivano con istruzioni speciali su come nascondersi dalle guardie di sicurezza della città (come i motori di ricerca o i software antivirus) e su come inviare segretamente le chiavi rubate ai cattivi. Capire come funzionano questi kit è fondamentale perché, se sappiamo come sono costruiti i set Lego, possiamo capire come individuare gli edifici falsi prima che qualcuno si faccia male.
Ora, tuffiamoci in ciò che un team di ricercatori della Florida International University ha fatto. Hanno deciso di prendere una gigantesca lente d'ingrandimento su 1.300 di questi "set Lego per truffe" (phishkit) che galleggiavano in internet tra il 2020 e il 2023. Volevano vedere come i cattivi stavano usando questi kit, quali trucchi stavano usando per nascondersi e come stavano rubando i dati.
Ecco cosa hanno scoperto, ed è un po' una sorpresa: la maggior parte di questi kit per truffe è in realtà piuttosto noiosa e prevedibile.
I ricercatori hanno scoperto che, sebbene i cattivi siano astuti, sono anche efficienti. Hanno scoperto che molti di questi kit sono costruiti usando esattamente gli stessi progetti. È come se ogni criminale in una città decidesse di costruire la sua banca falsa usando le stesse tre istruzioni provenienti dallo stesso manuale di istruzioni. I ricercatori hanno visto che le parti "core" di questi kit—le parti che fanno sembrare la pagina di login falsa reale, le parti che nascondono il sito ai sistemi di sicurezza e le parti che inviano i dati rubati via—erano quasi identiche in centinaia di kit diversi. Infatti, hanno scoperto che 284 dei kit (circa il 21,8%) non hanno nemmeno provato a nascondersi! Li hanno semplicemente lasciati con le porte spalancate, rendendo incredibilmente facile per i sistemi di sicurezza individuarli.
Quando i cattivi davvero cercavano di nascondersi, usavano trucchi molto vecchi e ben noti. Controllavano chi stava visitando il loro sito falso. Se il visitatore sembrava una guardia di sicurezza, un robot di un motore di ricerca o un ricercatore universitario, il kit diceva: "Oh, tu non sei una persona reale! Vai via!" e mostrava invece della truffa una pagina di "Errore 404" fittizia. Hanno bloccato milioni di indirizzi specifici, inclusi quelli appartenenti a grandi aziende tecnologiche, università e persino alcuni servizi VPN. Ma ecco il punto: stavano usando le stesse liste di indirizzi bloccati ripetutamente. È come un ladro che usa lo stesso cartello "Vietato l'ingresso" per ogni casa che deruba.
I ricercatori hanno anche sbirciato dietro le quinte per vedere come i ladri stessero ottenendo il loro bottino rubato. Hanno scoperto che, invece di usare tunnel sotterranei complicati e segreti, la maggior parte dei cattivi stava usando popolari e comuni app di messaggistica (come Telegram) per inviare le password e i numeri di carta di credito rubati. È come un ladro che invia al suo partner un messaggio tipo "Ho preso le chiavi!" usando un'app telefonica pubblica e regolare. Il team ha persino interagito con questi bot di messaggistica per vedere cosa stava succedendo. Hanno trovato migliaia di messaggi contenenti veri numeri di carte di credito e codici di accesso. Hanno informato responsabilmente le società di carte di credito di queste fughe di dati, e le società hanno annullato le carte attive per proteggere le vittime.
Quindi, qual è il grande punto fondamentale? Il paper suggerisce che, poiché questi truffatori sono così dipendenti da questi kit pre-fatti e pronti all'uso, il loro comportamento è altamente prevedibile. Non stanno inventando nuovi modi magici per nascondersi ogni giorno; stanno solo riutilizzando gli stessi vecchi trucchi e lo stesso vecchio codice. Questo è in realtà un'ottima notizia per le persone che cercano di fermarli. Se i cattivi stanno tutti usando le stesse istruzioni Lego, i difensori possono costruire migliori "rilevatori di truffe" che cerchino quei pattern specifici. I ricercatori concludono che, sebbene il phishing sia ancora una grande minaccia, il fatto che così tanti di questi attacchi siano costruiti con le stesse parti prevedibili rende più facile coglierli in flagrante, a patto che si possano costruire strumenti abbastanza intelligenti da individuare i pattern familiari nel caos.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.