Χιλιάδες phishing sites κρύβονται πίσω από τις σελίδες «404»

Μια σελίδα που εμφανίζει το μήνυμα «Not Found» ή τον κωδικό σφάλματος 404 μοιάζει να μην οδηγεί πουθενά. Σε χιλιάδες περιπτώσεις, όμως, αυτή η εικόνα μπορεί να αποτελεί μέρος μιας οργανωμένης εξαπάτησης.

Νέα έρευνα της Check Point αποκάλυψε ένα εκτεταμένο δίκτυο phishing ιστοσελίδων, οι οποίες εμφανίζονται ως ανενεργές, αλλά ενεργοποιούνται όταν ο επισκέπτης πληροί συγκεκριμένες γεωγραφικές ή γλωσσικές προϋποθέσεις.

Οι ερευνητές ξεκίνησαν από λίγες ύποπτες διευθύνσεις και εντόπισαν χιλιάδες domains που συνδέονται με την ίδια υποκείμενη πλατφόρμα. Η λειτουργία της βασίζεται στην απόκρυψη του κακόβουλου περιεχομένου από χρήστες και εργαλεία ανίχνευσης. Ανάλογα με τη χώρα, τη γλώσσα και το προφίλ του στόχου, η σελίδα μπορεί να μετατραπεί σε πλήρως λειτουργικό περιβάλλον phishing.

Για να αποκαλύψουν το δίκτυο, οι ερευνητές δεν περιορίστηκαν στην παρακολούθηση των domains, τα οποία αλλάζουν συχνά. Αντίθετα, χαρτογράφησαν κοινά τεχνικά χαρακτηριστικά και μοτίβα συμπεριφοράς, τα οποία παρέμεναν σταθερά ακόμη και όταν η υποδομή αντικαθιστούσε τις διευθύνσεις της. Με αυτόν τον τρόπο συνέδεσαν χιλιάδες ιστοσελίδες και καμπάνιες με την ίδια πλατφόρμα.

«Μια σελίδα 404 υποτίθεται ότι υποδεικνύει πως δεν υπάρχει τίποτα εκεί. Στη συγκεκριμένη περίπτωση, όμως, η σελίδα σφάλματος ήταν μέρος της εξαπάτησης», δήλωσε ο Yehonatan Wiesel, ερευνητής ασφάλειας της Check Point. Όπως εξήγησε, το περιεχόμενο ήταν κρυμμένο πίσω από μηχανισμούς τοπικοποίησης, διαδικασίες επαλήθευσης και «ελέγχους συνεδρίας», που δυσκόλευαν τόσο τους ερευνητές όσο και τα αυτοματοποιημένα συστήματα εντοπισμού.

Η πλατφόρμα έχει αξιοποιηθεί σε καμπάνιες που μιμούνται τράπεζες, δημόσιες υπηρεσίες, εταιρείες μεταφορών, υπηρεσίες διοδίων και στάθμευσης, εταιρείες ταχυμεταφορών και προγράμματα επιβράβευσης. Οι επιθέσεις έχουν εμφανιστεί σε πολλές χώρες και σε περισσότερες από δώδεκα γλώσσες.

Η έρευνα αναδεικνύει και μια δυσκολία για όσους επιχειρούν να εντοπίσουν τέτοιες απάτες: η παρακολούθηση μόνο των ύποπτων διευθύνσεων δεν αρκεί, καθώς αυτές μπορούν να αντικατασταθούν γρήγορα. Η αναζήτηση κοινών τεχνικών και συμπεριφορικών στοιχείων μπορεί να βοηθήσει οργανισμούς και ομάδες ασφάλειας να αναγνωρίσουν την υποδομή πίσω από τις καμπάνιες, ακόμη κι όταν τα domains αλλάζουν.