建站
咨詢
售后
建站咨詢
新聞中心
Resecurity 的研究人員最近發(fā)現(xiàn)了一個(gè)新的網(wǎng)絡(luò)釣魚(yú)即服務(wù)（PhaaS）平臺(tái) EvilProxy，該平臺(tái)正在暗網(wǎng)中大肆宣傳。在其他表述中，也有叫做 Moloch 的。該平臺(tái)與此前出現(xiàn)的網(wǎng)絡(luò)釣魚(yú)工具包存在某種關(guān)聯(lián)，這些工具包由針對(duì)金融機(jī)構(gòu)和電子商務(wù)公司發(fā)起攻擊的著名攻擊者開(kāi)發(fā)。
成都創(chuàng)新互聯(lián)公司是一家專業(yè)提供青山企業(yè)網(wǎng)站建設(shè),專注與成都網(wǎng)站建設(shè)、做網(wǎng)站、HTML5建站、小程序制作等業(yè)務(wù)。10年已為青山眾多企業(yè)、政府機(jī)構(gòu)等服務(wù)。創(chuàng)新互聯(lián)專業(yè)網(wǎng)站設(shè)計(jì)公司優(yōu)惠進(jìn)行中。
此前，針對(duì) Twilio 的供應(yīng)鏈攻擊導(dǎo)致雙因子驗(yàn)證代碼泄露。而 EvilProxy 這樣的平臺(tái)能夠大規(guī)模攻擊啟用雙因子驗(yàn)證的用戶，而無(wú)需侵入供應(yīng)鏈中。
EvilProxy 嘗試使用反向代理與 Cookie 注入來(lái)繞過(guò)雙因子認(rèn)證，以此代理受害者的會(huì)話。這種攻擊方式此前在 APT 攻擊中已有發(fā)現(xiàn)，EvilProxy 將其成功產(chǎn)品化。調(diào)查發(fā)現(xiàn)攻擊者已經(jīng)攻擊了多位財(cái)富五百?gòu)?qiáng)公司的員工。
首次發(fā)現(xiàn) EvilProxy 在 2022 年 5 月上旬，攻擊者發(fā)布了一段演示視頻（https://player.vimeo.com/video/746020364），介紹了針對(duì) Apple、Facebook、GoDaddy、GitHub、Google、Dropbox、Instagram、Microsoft、Twitter、Yahoo、Yandex 等品牌的攻擊。
后臺(tái)控制列表
值得注意的是，EvilProxy 還支持針對(duì) Python 語(yǔ)言的官方軟件存儲(chǔ)庫(kù) Python Package Index（PyPi）的網(wǎng)絡(luò)釣魚(yú)攻擊。
針對(duì) PyPi 的攻擊
不久前，PyPi 官方表示項(xiàng)目貢獻(xiàn)者遭到了網(wǎng)絡(luò)釣魚(yú)攻擊，最后使用了 JuiceStealer 作為 Payload 部署。根據(jù)分析調(diào)查，攻擊就是與 EvilProxy 有關(guān)。
除了 PyPi，EvilProxy 還支持 GitHub 和 npmjs。攻擊者希望通過(guò)釣魚(yú)攻擊切入供應(yīng)鏈，入侵下游的軟件開(kāi)發(fā)人員和 IT 人員。
針對(duì) GitHub 與 npmjs 的攻擊
反向代理
EvilProxy 利用反向代理的原理，將受害者引導(dǎo)至釣魚(yú)網(wǎng)站，并且通過(guò)反向代理為用戶提供所有合法的內(nèi)容，包括登錄頁(yè)面等。當(dāng)流量經(jīng)過(guò)反向代理，攻擊者就能夠獲取有效的會(huì)話 Cookie 并且繞過(guò)雙因子認(rèn)證的校驗(yàn)。
運(yùn)作模式
Google 雙因子驗(yàn)證示例（https://player.vimeo.com/video/746020880）如下所示：
Google 雙因子驗(yàn)證
微軟雙因子驗(yàn)證示例（https://player.vimeo.com/video/746021195）如下所示：
微軟雙因子驗(yàn)證
EvilProxy 是訂閱制，用戶可以選擇 10 日、20 日或者 31 日。由 John_Malkovich 擔(dān)任管理員，在 XSS、Exploit 與 Breached 在內(nèi)的主要黑客社區(qū)都有出售。
論壇廣告
EvilProxy 通過(guò) Telegram 進(jìn)行聯(lián)系與付款。
訂閱價(jià)格
EvilProxy 提供了使用教程與教學(xué)視頻，坦率地說(shuō)攻擊者在易用性上做的非常優(yōu)秀。
官方網(wǎng)站
攻擊者使用 Docker 容器和一組腳本進(jìn)行部署，自動(dòng)安裝程序部署在 Gitlab 的 ksh8h297aydO 用戶中。
apt update -qqy && apt dist-upgrade --no-install-recommends --no-install-suggests -o Dpkg::options::="--force-confdef" -y \ && apt install --no-install-recommends --no-install-suggests -y git \ && rm -rf /srv/control-agent && git clone --recurse-submodules https://gitlab.com/ksh8h297ayd0/docker-control-agent.git /srv/control-agent \ && cd /srv/control-agent && chmod +x ./install.sh \ && /srv/control-agent/install.sh '[license_key]' ===*=
部署成功后，就會(huì)通過(guò)上游的兩個(gè)網(wǎng)關(guān)轉(zhuǎn)發(fā)來(lái)自受害者的流量。
配置信息
例如一個(gè)模擬微軟電子郵件服務(wù)的釣魚(yú)網(wǎng)站地址為：
https://lmo.msdnmail[.]net/common/oauth2/v2.0/authorize?client_id=4765445b-32c6-49b0-83e6-1d93765276ca&redirect_uri=https%3A%2Fopenid%20profile%20https%3 A%2F%2Fwwwofc.msdnmail.net%2Fv2%2FOfficeHome.All&response_mode=form_post&nonce=637975588496970710 .Zjg3YzFkMmEtYTUxYy00NDliLWEzYzAtMTExZTliNjBkY2ZkY2U3NzM2MDMtZWNhZC00ZWFmLWE5YjMtYzgzZTFjM2E1ZDdl&ui_locales=en-US&mkt=en-US&state=jHi-CP0Nu4oFHIxklcT1adstnCWbwJwuXQWTxNSSsw-23qiXK-6EzyYoAyNZ6rHuHwsIYSkRp99F-bqPqhN4JVCnT4-3MQIDvdTKapKarcqaMFi6_xv2__3D0KfqBQ070ykGBGlwxFQ6Mzt9CwUsz2zdgcB4jFux2BhZQwcj-WumSBz0VQs5VePV-wz00E8rDxEXfQdlv-AT29EwdG77AmGWinyf3yQXSZTHJyo8s-IWSHoly3Kbturwnc87sDC3uwEn6VDIjKbbaJ-c-WOzrg&x-client-SKU=ID_NETSTANDARD2_0&x-client-ver=6.16.0.0?
獲取授權(quán)后的 URL 為：
https://473126b6-bf9a-4a96-8111-fb04f6631ad8-571c4b21.msdnmail[.]net/mail/?realm=[victim_domain]&exsvurl=1&ll-cc=1033&modurl=0&JitExp=1&url=%2Fowa%2F%3Frealm%253d%2526exsvurl%253d1%2526ll-cc%253d1033%2526modurl%253d0%2526login_hint%253[victim_email]%252540[victim_domain]?
模擬微軟電子郵件服務(wù)的釣魚(yú)
模擬微軟電子郵件服務(wù)的釣魚(yú)
攻擊者匯總了已知的 VPN 服務(wù)、代理服務(wù)與 Tor 出口節(jié)點(diǎn)等數(shù)據(jù)，判斷潛在受害者為機(jī)器人或者研究人員，就會(huì)自動(dòng)斷開(kāi)鏈接。
安全防護(hù)配置
另一種方法是基于指紋：
指紋識(shí)別配置
攻擊者也十分警惕虛擬機(jī)：
虛擬機(jī)檢測(cè)
虛擬機(jī)檢測(cè)
總結(jié)
EvilProxy 為攻擊者提供了一種低成本、可擴(kuò)展的解決方案來(lái)進(jìn)行釣魚(yú)攻擊，能夠繞過(guò)雙因子認(rèn)證使用戶更加不安全。
新聞標(biāo)題：能夠繞過(guò)雙因子驗(yàn)證的釣魚(yú)即服務(wù)平臺(tái) EvilProxy 在暗網(wǎng)中出現(xiàn)
網(wǎng)站URL：http://www.5511xx.com/article/ccisehc.html
