私は先週、フィッシングキットを分析していて、HTMLに存在するはずがないものを見つけた:見えざる類似点のない隠されたフォームフィールド コードの他の部分は、マウスの動き、キーボードの押し、人間の行動を検証するためのクリックを追跡しました。 // Hidden honeypot field for bots
const honeypot = document.createElement('input');
honeypot.type = 'text';
honeypot.name = 'website';
honeypot.style.display = 'none';
form.appendChild(honeypot);

// Check if honeypot was filled (by bots)
form.addEventListener('submit', function() {
    if (honeypot.value !== '') {
        emailError.textContent = 'Security check failed.';
        emailError.style.display = 'block';
        return false;
    }
}
 それはUIの一部ではなかったので、被害者はそれを見ることはできなかったので、なぜそこにあったのでしょうか? それは被害者を捕まえるために設計されていなかったからです。 It was designed to catch us. 『The Invisible Tripwire』 サイバー脅威ハンターとして、私は毎月何十ものフィッシングサイトを分析しています. ほとんどは、怠惰なカットとペストの仕事またはサブスクリプションのフィッシングサービスキットです。 ターゲットページは退屈なように見えた:ユーザーに「メールアドレスを確認する」ことを求めるクリーンな企業スタイルのプロンプト。 しかし、今回のキャンペーンは少し違いました。 予想どおり、このフィールドのコンテンツはAdversary-in-the-Middle kitに送信され、認証要求のメールフィールドをプレフィールするためでした。 さて、このハニーポットフィールドテクニックは実際には新しいものではなく、正当な子孫を持っています。ウェブ開発者は2000年代初めからハニーポットフィールドを使用して連絡先フォームと登録ページを保護しています。論理は優雅です:人々は隠されたフィールドを見ることができませんので、空のままにします。スパムボットはHTMLを解析し、「ウェブサイト」と呼ばれる入力を見、適切にURLで記入します。ハニーポット内のデータを含むすべての提出は静かに排除されます。 これは素晴らしい、被動的な防衛です。CAPTCHAの摩擦やユーザーの不快感はなく、自動的な虐待を捕らえるための静かなです。そして、フィッシングオペレーターがどのように私たちを捕らえるためにそれをコピーしてきたかを見ます。 これは、その文脈でどのように機能するかです: rudimentary security scanners parse raw HTML. When they encounter an input field, their programming compels them to fill it to test for vulnerabilities or trigger a submit action. 入力フィールドに遭遇すると、プログラミングにより、脆弱性をテストしたり、提出アクションを引き起こしたりします。 
 
 
 隠されたフィールドは空ですか? たぶん人間、AitMプロキシキットに進む 隠されたフィールドにはデータがありますか? 恐らくボット、エラーメッセージを表示します。 タイトル:The Engine Under the Hood: Traffic Cloaking ハネプットは、入門レベルのフィルターの1つに過ぎません。その背後には、トラフィッククローキングと呼ばれる巨大なバックエンド産業があります。元々は、広告詐欺を止めたり、行為したりするように開発され、今ではフィッシングのための武器となっています。 複雑なサービスは毎月1000ドルで、毎訪問者の指紋はミリ秒です。 それはスクリプトキッディーのお金ではなく、インフラ投資です。 彼らはチェックしています: ヒトは混乱し、ボットは線形で瞬間的である。 Behavioral biometrics: やる WebGL レンダラーは実際のハードウェアではなく「Google SwiftShader」(ヘッドレス Chrome)として識別しますか? Device fingerprinting: navigator.webdriver 住宅ISPかセキュリティベンダーのデータセンター? IP reputation: 毒をうまく フィッシングキットがボット、スキャナ、および研究者を検出すると、彼らはあなたをブロックするだけでなく、「安全なページ」を提供します。 なぜ? 脅威インテリジェンスフィードを毒殺する セキュリティベンダーのクローバーがそのブログに到着すると、例えば「Retail」または「Technology/Benign」としてドメインを分類します。この分類はファイアウォール、URLフィルター、ブロックリストに広がり、ドメインがホワイトリストに表示されます。 私は、ドメインがこのテクニックを使用して数週間、あるいは数カ月間、アクティブに残っているのを見てきました。 『The Mirror World: Defense Becomes Offense』 攻撃者はしばしば新しいテクニックを発明していないが、われわれのテクニックをコピーしているだけだということを見ると常に笑う。 正当なサイトは、スパムをデータベースから削除するためにハネポットを使用し、フィッシングサイトはハネポットを使用してスキャナーをインフラストラクチャから削除します。 このパターンはあちこちで繰り返される。 最初はウェブサイトを守るために設計されたCAPTCHAは、私が分析するフィッシングサイトの少なくとも90%に表示されます。 自動クローバーがフィッシングコンテンツにアクセスするのを防ぐ Technical: 被害者が Cloudflare Turnstile や Google reCAPTCHA を見ると、「このサイトにはセキュリティチェックがあります。 Psychological: カーテンの裏にあるもの なぜ隠すのに苦労するのか? 保護されているものは貴重だから:セッションクッキーではなくパスワードを盗むリアルタイムの対戦相手攻撃 キットはライブプロキシとして機能し、認証情報と2FAコードを実際のサービスに転送します。 実際のサイトがセッションクッキーを発行すると、攻撃者はそれをスナップします。 パスワードは必要ありません、2FAバイパスは必要ありません。 クッキーからトークンをキャップするだけで、あなたは入っています。 収益性のあるコンテンツ、例えば請求書を複製するためのインボックスを検索し、次にフィッシングメールの波を送信することによってそれを焼きます。 それは反情報で保護する価値があります。 どうやって反撃するか 1.Scan as a victim, not a server (サーバーではなく、被害者としてスキャン) Cloaking systems blacklist data center IPs instantly. In our hunt program, we route analysis traffic through residential and mobile proxies and mimic real hardware/software fingerprints, so we see what targets see. 気をつけておいてください、しかし、時にはこれは、ISPのセキュリティデバイスまたはDNSフィルタリングによってページがブロックされることを意味します。 2.ネガティブな空間の狩り 私が見つけたハネトップは目に見えないが、コードを見た瞬間は明らかだった(正直に言うと、これはこの着陸ページが隠蔽を用いていないからである)。 3.CAPTCHAが安全を意味することをユーザーに教えるのをやめる 私たちは、パッドロックアイコンとCAPTCHAが良い兆候であることをユーザーに訓練するために何年も費やし、攻撃者はそれを知っています。 予期せぬリンク上のCAPTCHAはセキュリティ機能ではありません。最良の場合、自動防御を維持するために設計されたゲートであり、最悪の場合、ClickFixスタイルの攻撃です。 武器競争は続く フィッシングサイトにおけるフロントエンドのハンドポットは、ここ数年で観てきたより広い変化の一面にすぎません:攻撃者がキャンペーンを扱っています。 : オペタイムの最適化、ボットトラフィックの管理、ランディングページのA/Bテスト。 正当なSaaS製品として 我々は製品ロードマップと顧客サポートチャンネルを持つエンジニアリングチームに立ち向かっている。この修正は「リンクを越え」についてのもう一つのポスターでもなく、誤字についてのより長いPowerPointでもない。これはサイドクエストとしてフィッシングを扱うのを止める考え方の変化です。攻撃者はすでに私たちのハネプット、CAPTCHA、およびゲームブックを盗んでいます。今、唯一の本当の疑問は、私たちが彼らから何かを盗もうとしているかどうかです:彼らの規律です。もし我々が攻撃者のように科学と分析の芸術を効果的に適用するように防衛チームを教えることができれば、次に隠されたコードがフィッシングキットに現れる時、それは彼らのトリップワイヤ

This story contains new, firsthand information uncovered by the writer.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

Read My Stories

このオーディオは、ストーリーの元の言語で制作されています。

I Saw A Phishing Site That Traps セキュリティボットを見た

About Author

コメント

ラベル

この記事は

Related Stories

海を航海する: データレイクを使用した本番環境レベルの RAG アプリケーションの開発

Claude Sonnet 3.5 システムプロンプトの漏洩: 法医学的分析

HackerNoon Coded: HackerNoonが最も活発に活動している上位10カ国

AI の力を解き放つ。最先端技術の体系的レビュー: 概要と序論

海を航海する: データレイクを使用した本番環境レベルの RAG アプリケーションの開発

Claude Sonnet 3.5 システムプロンプトの漏洩: 法医学的分析

HackerNoon Coded: HackerNoonが最も活発に活動している上位10カ国

AI の力を解き放つ。最先端技術の体系的レビュー: 概要と序論

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps

I Saw A Phishing Site That Traps セキュリティ ボットを見た

About Author

コメント

ラベル

この記事は

Related Stories

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps

I Saw A Phishing Site That Traps セキュリティボットを見た