Фишеры взяли на вооружение обратное туннелирования и короткие ссылки

Исследователи безопасности компании CloudSEK зафиксировали рост числа фишинговых операций с использованием обратного туннелирования и сервисов для сокращения ссылок. Такая практика не характерна для фишеров, которые обычно регистрируют домены у хостинг-провайдеров. Однако хостинг-провайдеры могут отключать фишинговые домены по запросу правоохранительных органов, а использование обратного туннелирования и коротких ссылок усложняет задачу по срыву фишинговых операций.

В случае с обратным туннелированием злоумышленники размещают фишинговые страницы локально на собственных компьютерах и маршрутизируют подключения через внешний сервис. С помощью сервисов для сокращения ссылок они могут генерировать новые ссылки для обхода обнаружения столько раз, сколько понадобится.

Многие фишинговые ссылки обновляются менее чем через 24 часа, поэтому отследить и отключить такие домены очень сложно. Как сообщили специалисты CloudSEK изданию BleepingComputer, они выявили более 500 сайтов с таким хостингом.

Чаще всего злоумышленники пользуются сервисами обратного туннелирования Ngrok, LocalhostRun и Cloudflare Argo и сервисами для сокращения ссылок Bit.ly, is.gd и cutt.ly.

Сервисы обратного туннелирования защищают фишинговый сайт путем обработки всех подключений на локальном сервере, где расположен сам сайт. Таким образом, все входящие соединения разрешаются сервисом туннелирования и переадресовываются на локальную машину.

С помощью сервисов для сокращения ссылок злоумышленники маскируют ссылки, и имя домена не вызывает подозрений у жертвы. Эти ссылки обычно распространяются через WhatsApp, Telegram, электронную почту и поддельные страницы в соцсетях.