Домен возвращает пустую страницу. Возможно, стандартное сообщение «Not Found» (Не найдено). Здесь нет формы входа, подозрительного брендинга или очевидного фишингового контента для расследования.
И все же фишинговый сайт может быть там.
Исследователи Check Point Exposure Management обнаружили масштабную многорегиональную фишинговую инфраструктуру, предназначенную для сокрытия активных кампаний за якобы неактивными доменами. Начав с нескольких фишинговых URL-адресов, расследование выявило повторяющийся технический отпечаток, который в конечном итоге связал эту активность с тысячами ротируемых доменов, нацеленных на организации и пользователей в различных регионах.
Инфраструктура использует региональные пути, локализацию, контроль сессий и доступ по токенам, чтобы определять, когда отображать фишинговый контент. Посетите неправильный URL, и вы можете ничего не увидеть. Перейдите по нужному пути при правильных условиях, и появится активный фишинговый рабочий процесс.
Рисунок 1. Пустая страница «Not Found», возвращаемая при отсутствии доступа к скрытому каталогу.
Основные выводы
- Активные фишинговые сайты могут выглядеть неактивными. Корневые домены часто возвращают стандартные страницы 404 или «Not Found», в то время как фишинговый контент остается доступным через скрытые пути и условную маршрутизацию.
- Технический отпечаток выявил гораздо более крупную сеть. Исследователи объединили характеристики HTTP-сервера GoFrame, Caddy, поведение ответов и другие сигналы, чтобы сузить круг поиска с примерно 19 000 первоначальных результатов до 322 потенциальных IP-адресов.
- Инфраструктура связана с тысячами доменов. Одно окно сбора данных в сентябре выявило 10 187 связанных доменов, при этом 90% из них попали в категорию наиболее вредоносных. Более поздний снимок содержал 5 785 доменов, что подчеркивает значительную текучесть инфраструктуры.
- Кампании созданы для регионального таргетинга. Исследователи наблюдали фишинговые темы в Юго-Восточной Азии, Европе, Латинской Америке, Израиле, Австралии, Африке и Азии, охватывающие банковское дело, государственные услуги, транспорт, почтовые службы, программы вознаграждений и другие сектора.
- Платформа выглядит модульной. Общие API, схемы конфигурации, фреймворки локализации и элементы управления сессиями встречались в кампаниях с разными брендами, языками и регионами.
Поиск фишинга за страницей 404
Расследование началось с небольшого набора известных фишинговых URL-адресов.
Исследователи заметили, что фишинговые страницы часто скрыты внутри региональных каталогов. Домен с итальянской тематикой обслуживал свой фишинговый контент через /it, в то время как инфраструктура с немецкой тематикой использовала /de. Посещение корневого домена могло привести к ничем не примечательной странице ошибки.
Это создает проблему видимости. Полные фишинговые URL-адреса могут распространяться через SMS, электронную почту, WhatsApp и другие частные каналы. Без полного URL-адреса традиционная проверка домена может дать мало признаков того, что существует активная фишинговая страница.
Исследователи обратились к базовой инфраструктуре в поисках подсказок.
Необычная комбинация HTTP-сервера GoFrame и Caddy в сочетании с характеристиками ответа и повторяющимся поведением приложения предоставила отпечаток, который можно было использовать для поиска связанной инфраструктуры.
Рисунок 2. Поток обнаружения инфраструктуры, показывающий, как исследователи сузили первоначальный след до 322 IP-адресов и тысяч связанных доменов.
Одна платформа, много регионов
Анализ 500 доменов из кластера выявил кампании, охватывающие многочисленные регионы и отрасли.
Кампании в Юго-Восточной Азии в значительной степени были сосредоточены на банках, финансовых услугах и программах вознаграждений. Европейские темы включали транспорт, парковку, налогообложение, государственное управление и доставку посылок. Латиноамериканские кампании выдавали себя за финансовые учреждения, государственные органы, почтовые службы и программы социальных пособий. Исследователи также наблюдали локализованный таргетинг в Израиле, Австралии, Африке и Азии.
Общая инфраструктура, лежащая в основе этих кампаний, значительна. Различные бренды и языки могут быть заменены в рамках общей технической базы, что позволяет развертывать локализованные фишинговые сценарии в разных регионах.
Преодоление уровня верификации
Один пример показывает, насколько глубоко может быть скрыт фишинговый контент.
Исследователи изучили домен с тематикой вознаграждений, нацеленный на клиентов финансовой группы из Центральной Америки. Корневой домен и один региональный путь возвращали «Not Found». Доступ к пути /pa вызывал экран пользовательской верификации.
Рисунок 3. Уровень пользовательской проверки, отображаемый после доступа к правильному региональному пути.
Процесс верификации генерировал токен сессии перед перенаправлением посетителя в фишинговый рабочий процесс. Платформа также поддерживала многочисленные языки, включая английский, испанский, французский, немецкий, португальский, арабский, иврит, японский, корейский, хинди, русский и китайский.
За этим уровнем скрывалась сама фишинговая приманка.
Рисунок 4. Основная страница фишинговой приманки, открывшаяся после процесса проверки.
Исследователи обнаружили идентичные структуры API и схемы конфигурации в разных кампаниях. Брендинг, язык, валюта и каталоги вознаграждений могли меняться, в то время как базовая архитектура оставалась неизменной. Эти сходства указывают на общий инструментарий или оператора, поддерживающего локализованные кампании через многоразовую платформу.
Поиск поведения за доменом
Инфраструктура очень динамична. Домены и IP-ассоциации значительно менялись между окнами сбора данных, что снижает долгосрочную ценность отдельных доменов в качестве индикаторов.
Повторяющееся поведение предоставляет более широкие возможности для поиска.
Исследователи определили скрытую региональную доставку, токенизированный доступ, рандомизированные пути API, многоразовые схемы конфигурации, фреймворки локализации и рабочие процессы с контролем сессий как повторяющиеся характеристики, которые могут выявить связанные развертывания по мере изменения видимой инфраструктуры.
Группы безопасности также должны с осторожностью относиться к общему ответу 404 или «Not Found», когда другие индикаторы указывают на подозрительную инфраструктуру. Объединение поведения сервера, технологических отпечатков, региональных каталогов, параметров локали, конечных точек генерации токенов и повторяющихся структур приложений может дать более четкое представление о том, что скрывается внутри.
Исследователи не смогли окончательно приписать инфраструктуру конкретному фишинговому набору, поставщику услуг, оператору или группе угроз. Имеющиеся доказательства подтверждают наличие общего фишингового инструментария, в то время как для атрибуции по названию потребовались бы дополнительные доказательства.
Полный отчет с результатами расследования, методологией, анализом инфраструктуры, тематическими исследованиями и рекомендациями по поиску угроз можно прочитать здесь: Infrastructure Fingerprinting of a Multi Region Phishing Operation
Узнайте, как Check Point Exposure Management помогает организациям обнаруживать фишинговые сайты и имитацию брендов, выявлять вредоносную инфраструктуру и принимать меры против угроз, направленных на их организацию.
