phishing rozproszony (multi-stage)

Phishing wieloetapowy prowadzi ofiarę przez kilka pozornie niegroźnych kroków, zanim zażąda danych logowania.

Jak przebiega phishing wieloetapowy

Phishing rozproszony, określany także jako phishing wieloetapowy lub multi-stage phishing, to sposób prowadzenia ataku, w którym przejęcie informacji nie następuje w jednym komunikacie. Użytkownik jest kierowany przez kilka następujących po sobie etapów. Pierwszy kontakt może wyglądać jak zwykłe powiadomienie, wiadomość z odnośnikiem, zaproszenie do dokumentu albo informacja o problemie z kontem. Dopiero później pojawia się żądanie podania loginu, hasła, kodu jednorazowego lub zatwierdzenia operacji.

Poszczególne etapy mogą być realizowane przez różne elementy infrastruktury. Wiadomość e-mail może prowadzić do strony pośredniej, która sprawdza parametry przeglądarki, przekierowuje użytkownika do kolejnego adresu albo wyświetla neutralną treść, jeżeli odwiedzający nie pasuje do założonego profilu. Następny odnośnik może otworzyć fałszywy formularz logowania. Dzięki takiemu podziałowi analiza pojedynczego adresu lub jednej wiadomości nie zawsze ujawnia pełny przebieg ataku.

Rola stron pośrednich i przekierowań

W ataku wieloetapowym strona pośrednia może pełnić funkcję filtra. Skrypt uruchomiony w przeglądarce może sprawdzać między innymi język interfejsu, typ urządzenia, obecność określonych parametrów w adresie oraz to, czy użytkownik otworzył stronę z konkretnego odsyłacza. Celem nie musi być natychmiastowa kradzież danych. Strona może najpierw wyświetlić komunikat o konieczności potwierdzenia wieku, wyboru regionu, kontynuowania dokumentu lub weryfikacji dostępu.

Przekierowanie może wykorzystywać kilka domen i usług skracania adresów. Część adresów może działać tylko przez krótki czas, a część może zmieniać zawartość zależnie od parametrów zapytania. Złośliwy formularz często imituje ekran logowania znanej usługi, lecz dane są wysyłane do serwera kontrolowanego przez atakującego. W niektórych wariantach po wpisaniu hasła wyświetlana jest kolejna prośba o kod z aplikacji uwierzytelniającej albo kod otrzymany wiadomością. Sam wygląd strony nie potwierdza jej autentyczności, ponieważ elementy graficzne i układ formularza można łatwo skopiować.

Ślady ataku na komputerze i w przeglądarce

Na komputerze śladami wieloetapowego phishingu mogą być wpisy historii przeglądania wskazujące na kilka domen odwiedzonych w krótkim odstępie, nietypowe przekierowania, otwieranie nowych kart lub komunikaty o wygasłej sesji. Warto sprawdzić pełny adres strony, a nie tylko nazwę wyświetlaną w treści wiadomości. Podejrzane są między innymi literówki w nazwie domeny, dodatkowe człony przed właściwą nazwą, nietypowe końcówki domenowe oraz adresy wykorzystujące mylące poddomeny. Kłódka HTTPS oznacza szyfrowanie połączenia, ale nie stanowi dowodu, że witryna należy do właściwej organizacji.

Analiza powinna objąć również pobrane pliki, rozszerzenia przeglądarki, zapisane dane autouzupełniania oraz aktywne sesje kont. Jeżeli po wejściu na stronę pobrano dokument lub uruchomiono program, należy sprawdzić ten plik przed dalszym użyciem. Samo zamknięcie karty nie cofa wpisania hasła ani zatwierdzenia logowania. W takiej sytuacji należy z zaufanego urządzenia zmienić hasło, zakończyć aktywne sesje i zweryfikować ustawienia metod uwierzytelniania. Jeżeli używane hasło występowało także w innych usługach, powinno zostać zmienione również tam.

Znaczenie poprawnej oceny po podejrzanym logowaniu

Ocena incydentu nie powinna ograniczać się do pytania, czy komputer wyświetla objawy złośliwego oprogramowania. Phishing może zakończyć się przejęciem poświadczeń bez instalowania programu. Należy ustalić, jakie dane wpisano, na jakiej stronie je podano, czy zaakceptowano powiadomienie logowania oraz czy po zdarzeniu pojawiły się nietypowe wiadomości, zmiany ustawień konta albo nowe reguły przekierowywania poczty. Istotne jest także zachowanie oryginalnej wiadomości wraz z nagłówkami, adresem odsyłacza i godziną zdarzenia, ponieważ te informacje ułatwiają odtworzenie kolejnych etapów.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę i naprawę laptopów, komputerów PC oraz ich podzespołów, gdy podejrzane przekierowania, niepożądane programy lub zmiany w przeglądarce wymagają sprawdzenia na urządzeniu. Zakres prac powinien wynikać z ustalonego problemu: może obejmować analizę systemu, przeglądarki, autostartu i podstawowych ustawień bezpieczeństwa, a także pomoc w przywróceniu prawidłowego działania komputera po incydencie. Ostateczna ocena wymaga rozdzielenia problemu technicznego urządzenia od skutków przejęcia samego konta, ponieważ zmiana ustawień na komputerze nie zastępuje zabezpieczenia usługi internetowej.