An Analysis of Architectural and Operational Dynamics of Phishkits in the Wild
Dit artikel analyseert 1.300 moderne phishkits die tussen 2020 en 2023 zijn verzameld om aan te tonen dat, ondanks hun operationele diversiteit, de meerderheid vertrouwt op voorspelbare, herbruikbare componenten en een gebrek aan geavanceerde evasie-mechanismen vertoont, wat suggereert dat grootschalige detectie van deze aanvallen haalbaar is.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je het internet voor als een enorme, bruisende stad waar iedereen probeert zijn bestemming te bereiken. In deze stad zijn sluwe bedriegers die nepfabrieken opzetten die precies lijken op de echte banken, sociale media-hubs of e-mailkantoren. Ze wachten tot mensen langslopen, hopend dat ze naar binnen stappen om hun post te controleren of geld op te nemen, om vervolgens alleen maar hun sleutels en geheimen te stelen. Dit is de wereld van "phishing", een digitale scam die al een lange tijd bestaat. Maar hier komt de twist: deze bedriegers bouwen deze nepfabrieken meestal niet vanaf nul, steen voor steen. In plaats daarvan kopen ze kant-en-klare "constructiesets" die phishkits worden genoemd. Denk aan deze kits als een "Lego-set voor scams". Je koopt de doos, klikt de stukjes in elkaar, en boem—je hebt een overtuigende nepbank. Deze kits komen met speciale instructies over hoe ze zich kunnen verbergen voor de beveiligingsbewakers van de stad (zoals zoekmachines en antivirussoftware) en hoe ze de gestolen sleutels stiekem terug kunnen sturen naar de slechteriken. Het begrijpen van hoe deze kits werken is cruciaal, want als we weten hoe de Lego-sets zijn gebouwd, kunnen we uitzoeken hoe we de nefbouwsel kunnen herkennen voordat er iemand gewond raakt.
Laten we nu duiken in wat een team onderzoekers van Florida International University heeft gedaan. Ze besloten een gigantische vergrootglas te gebruiken voor 1.300 van deze "scam Lego-sets" (phishkits) die tussen 2020 en 2023 rondzwierven op het internet. Ze wilden zien hoe de slechteriken deze kits gebruikten, welke trucs ze gebruikten om zich te verbergen, en hoe ze gegevens stalen.
Dit is wat ze vonden, en het is een verrassing: de meeste van deze scamkits zijn eigenlijk behoorlijk saai en voorspelbaar.
De onderzoekers ontdekten dat hoewel de slechteriken slim zijn, ze ook efficiënt zijn. Ze ontdekten dat veel van deze kits worden gebouwd met exact dezelfde blauwdrukken. Het is alsof elke crimineel in een stad besluit om zijn nefbank te bouwen met exact dezelfde drie instructies uit hetzelfde instructieboekje. De onderzoekers zagen dat de "kernonderdelen" van deze kits—de onderdelen die de nep-inlogpagina er echt uit laten zien, de onderdelen die de site verbergen voor beveiligingsscanners, en de onderdelen die de gestolen gegevens wegschicken—bijna identiek waren over honderden verschillende kits heen. Sterker nog, ze ontdekten dat 284 van de kits (ongeveer 21,8%) niet eens probeerden te verbergen! Ze lieten hun deuren gewoon wagenwijd openstaan, waardoor het voor beveiligingssystemen ongelooflijk makkelijk was om ze te spotten.
Wanneer de slechteriken wel probeerden zich te verbergen, gebruikten ze enkele zeer oude, bekende trucjes. Ze controleerden wie er hun nefsite bezocht. Als de bezoeker een beveiligingsbewaker, een zoekmachine-robot of een universiteitsonderzoeker leek, zei de kit: "Oh, jij bent geen echt persoon! Ga weg!" en toonde in plaats van de scam een nep "404 Error"-pagina. Ze blokkeerden miljoenen specifieke adressen, inclusief die behorend bij grote technologiebedrijven, universiteiten en zelfs sommige VPN-diensten. Maar hier komt de crux: ze gebruikten steeds weer dezelfde lijsten met geblokkeerde adressen. Het is alsof een dief voor elk huis dat hij berooft, hetzelfde "Niet Betreden"-bordje gebruikt.
De onderzoekers keken ook even achter het gordijn om te zien hoe de dieven hun gestolen buit kregen. Ze ontdekten dat in plaats van ingewikkelde, geheime ondergrondse tunnels te gebruiken, de meeste slechteriken populaire, alledaagse berichtenapps (zoals Telegram) gebruikten om de gestolen wachtwoorden en creditcardnummers te versturen. Het is alsof een dief tegen zijn partner appt: "Ik heb de sleutels!" via een gewone, publieke telefoon-app. Het team heeft zelfs interactie gehad met deze berichtenbots om te zien wat er aan de hand was. Ze vonden duizenden berichten met echte creditcardnummers en inlogcodes. Ze hebben de creditcardbedrijven op verantwoordelijke wijze op de hoogte gesteld van deze lekken, en de bedrijven hebben de actieve kaarten geannuleerd om de slachtoffers te beschermen.
Dus, wat is de belangrijkste les? Het artikel suggereert dat omdat deze scammers zo afhankelijk zijn van deze vooraf gemaakte, kopieer-plak kits, hun gedrag zeer voorspelbaar is. Ze verzinnen niet elke dag nieuwe, magische manieren om zich te verbergen; ze hergebruiken gewoon dezelfde oude trucjes en dezelfde oude code. Dit is eigenlijk goed nieuws voor de mensen die hen proberen te stoppen. Als de slechteriken allemaal dezelfde Lego-instructies gebruiken, kunnen verdedigers betere "scam detectoren" bouwen die naar die specifieke patronen zoeken. De onderzoekers concluderen dat hoewel phishing nog steeds een enorme bedreiging is, het feit dat zoveel van deze aanvallen zijn opgebouwd uit dezelfde voorspelbare onderdelen het makkelijker maakt om ze op heterdaad te betrappen, mits we instrumenten kunnen bouwen die slim genoeg zijn om de bekende patronen in de chaos te herkennen.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.