phishing ukryty w stylu CSS

Phishing ukryty w stylach CSS to technika maskowania treści przed filtrami przy zachowaniu widoczności dla odbiorcy.

Jak CSS może ukrywać elementy strony phishingowej

Phishing ukryty w stylach CSS polega na takim przygotowaniu wyglądu strony, aby treść widoczna dla człowieka różniła się od tego, co łatwo odczytać z kodu HTML, prostego skanera albo podglądu tekstowej wersji wiadomości. Sam arkusz CSS nie zmienia adresu domeny ani nie przejmuje konta, ale może wpływać na to, które elementy dokumentu są widoczne, w jakiej kolejności są wyświetlane oraz jak wyglądają komunikaty i formularze. W kampaniach phishingowych bywa wykorzystywany do maskowania ostrzeżeń, ukrywania fragmentów tekstu lub budowania interfejsu przypominającego panel logowania znanej usługi.

Do ukrywania elementów mogą służyć między innymi właściwości display: none, visibility: hidden, bardzo niska wartość opacity, przesunięcie elementu poza obszar widoku przez position i left lub przykrycie go innym elementem za pomocą z-index. Różnice między tymi mechanizmami mają znaczenie diagnostyczne. Element z display: none nie zajmuje miejsca w układzie strony, natomiast element z visibility: hidden może nadal zachowywać swoje miejsce. Z kolei przezroczysty obiekt może pozostawać obecny w strukturze strony i reagować na kliknięcia, mimo że użytkownik go nie widzi.

Maskowanie tekstu, obrazów i kontrolek formularza

Arkusz stylów może zmieniać wizualny odbiór tekstu bez usuwania go z dokumentu. Służą do tego między innymi kolor tekstu zbliżony do koloru tła, bardzo mały rozmiar czcionki, przycinanie zawartości przez overflow oraz ustawianie tekstu poza widocznym obszarem. Pseudo-elementy ::before i ::after mogą dodawać komunikaty, etykiety lub symbole generowane przez właściwość content. Taki napis może być widoczny w przeglądarce, chociaż nie występuje jako zwykły tekst w głównej części HTML.

CSS może również stylizować formularz tak, aby pole przeznaczone do wpisania danych wyglądało jak element innej witryny. Zmieniony obrys, tło, odstępy, kolejność wizualna i etykiety mogą utrudniać rozpoznanie prawdziwego pochodzenia strony. Szczególnej uwagi wymagają pola, których opis nie odpowiada funkcji technicznej, elementy przykryte przezroczystą warstwą oraz przyciski umieszczone w miejscu innym niż wynikałoby to z kolejności HTML. Warto pamiętać, że CSS nie powinien być traktowany jako dowód autentyczności strony: o bezpieczeństwie decyduje także domena, certyfikat połączenia, sposób obsługi formularza i źródło wiadomości.

Dlaczego proste filtry mogą nie zauważyć manipulacji

Filtr analizujący wyłącznie tekst wiadomości lub statyczny fragment HTML może nie odtworzyć końcowego wyglądu strony. Przeglądarka najpierw interpretuje HTML, następnie stosuje reguły CSS, oblicza układ elementów i wykonuje dodatkowe operacje związane z renderowaniem. Jeżeli analiza bezpieczeństwa nie uwzględnia tych etapów, może pominąć tekst generowany przez pseudo-elementy, elementy pokazane dopiero po zmianie klasy CSS albo zawartość ukrytą w zagnieżdżonych warstwach.

Wykrywanie takiego phishingu powinno więc łączyć analizę kodu źródłowego z obserwacją strony w przeglądarce. Należy porównać drzewo DOM z tekstem widocznym na ekranie, sprawdzić reguły wpływające na widoczność i położenie elementów oraz przeanalizować obiekty tworzone przez ::before i ::after. Przydatne jest także wyłączenie arkuszy stylów w narzędziach deweloperskich i ponowne odczytanie treści. Jeżeli po tej czynności znikają ostrzeżenia, nazwy usług albo opisy pól formularza, może to wskazywać na próbę ukrycia informacji przed automatyczną analizą.

Bezpieczne sprawdzenie podejrzanej strony na komputerze

Podczas weryfikacji podejrzanej wiadomości nie należy wpisywać hasła, kodu jednorazowego ani danych karty do formularza tylko dlatego, że strona wygląda znajomo. Bezpieczniej jest zamknąć kartę, otworzyć stronę usługi przez ręcznie wpisany, znany adres i sprawdzić, czy wiadomość rzeczywiście pochodzi od właściwego nadawcy. Analizę techniczną można przeprowadzić na kopii treści lub w narzędziach przeglądarki, bez wysyłania formularza. Warto sprawdzić pełny adres URL, przekierowania, nazwę domeny oraz to, czy elementy widoczne na ekranie mają odpowiedniki w strukturze dokumentu.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką problemów z przeglądarką, niepożądanymi zmianami w systemie oraz skutkami uruchomienia podejrzanej strony. Jeżeli po kontakcie z phishingiem pojawiają się nietypowe rozszerzenia, przekierowania, wyskakujące okna lub zmienione ustawienia przeglądarki, potrzebna jest kontrola systemu i oprogramowania zabezpieczającego. Sama zmiana arkusza CSS nie jest awarią sprzętową, ale może być elementem szerszej kampanii oszustwa, dlatego ocenę należy oprzeć na całym przepływie strony i zachowaniu komputera.