Thách thức mới cho an ninh mạng bởi chiến dịch phishing xác thực email nạn nhân theo thời gian thực

Tổng quan

Các kẻ tấn công đã phát triển nhiều kỹ thuật, chiến lược mới để qua mặt các phương thức phòng thủ hiện tại và chúng càng ngày càng phức tạp và tinh vi. Một trong những kỹ thuật đó là Precision-Validated Phishing, một kỹ thuật xác thực email theo thời gian thực để đảm bảo các mục tiêu nhắm đến có giá trị cao và chính xác. Kỹ thuật này có nhiều ưu điểm như tăng độ hiệu quả tấn công, thông tin về các tài khoản được thu thập, nâng cao chất lượng để bán hoặc sử dụng cho các chiến dịch khác. Ngoài ra kỹ thuật này cũng khiến cho việc điều tra trở nên khó khăn hơn.

Cách thức hoạt động

Theo Cofense, cách thức tấn công này chỉ nhắm tới các email đã được xác nhận là đang hoạt động, hợp lệ và có giá trị cao. Đầu tiên, nạn nhân sẽ truy cập vào trang web phishing, địa chỉ email của họ sẽ được kiểm tra trong cơ sở dữ liệu của kẻ tấn công trước khi một form điền thông tin tài khoản hiện ra. Nếu như địa chỉ email đó không khớp với dữ liệu trong cơ sở dữ liệu mà chúng thu thập được thì trang web sẽ trả về lỗi hoặc chuyển hướng tới trang web hợp lệ. Điều này cản trở đội điều tra phát hiện và theo dõi.

Các chiến dịch phishing gần đây mà Cofense điều tra đã phát hiện ra rằng chúng sử dụng script viết bằng JavaScript được nhúng trong trang web đăng nhập giả mạo để kiểm tra thông tin, nhắm vào các người dùng trong doanh nghiệp.

Kỹ thuật này được thực hiện thông qua:

• Dịch vụ xác thực dựa trên API: Kẻ tấn công sẽ tích hợp các API xác thực người dùng hợp lệ vào trong các công cụ phishing, cho phép chúng xác thực email theo thời gian thực.

Xác thực bằng JavaScript: Một form đăng nhập giả mạo chứa một đoạn script kết nối tới máy chủ của kẻ tấn công khi người dùng nhập địa chỉ email, sau đó sẽ xác thực địa chỉ email đó trước khi nhập mật khẩu.

Khuyến nghị

Do tính chất phức tạp của phương thức thực hiện, phía FPT Threat Intelligence khuyến cáo người dùng nên cẩn trong khi truy cập vào các trang web, đường link lạ, khả nghi và không cung cấp thông tin cho các trang web đó. Ngoài ra các doanh nghiệp cũng nên đào tạo người dùng trước các phương thức tấn công tinh vi phức tạp này.

Tham khảo

• Precision-Validated Phishing: A New Threat to Defenders​

• Phishing Campaigns Use Real-Time Checks to Validate Victim Emails Before Credential Theft