Фишинг, целевой фишинг и атаки на руководителей

Email остаётся наиболее распространённым первоначальным вектором доступа при кибератаках. Фишинг использует психологию человека — создаёт ощущение срочности, апеллирует к авторитету или вызывает страх, — чтобы заставить получателей нажать на вредоносные ссылки, открыть заражённые вложения или раскрыть учётные данные. В отличие от технических уязвимостей, которые можно устранить исправлениями, восприимчивость человека к социальному давлению невозможно устранить обновлением программного обеспечения. Кандидаты на сертификацию Security+ должны понимать весь спектр фишинговых атак: от массовых кампаний, нацеленных на миллионы случайных получателей, до тщательно подготовленных сообщений для конкретного человека.

Массовый фишинг (или рассылочный фишинг) одновременно отправляет одно и то же вредоносное письмо тысячам или миллионам адресатов, рассчитывая на небольшую долю успешных атак за счёт огромного числа целей. Распространённые приманки включают поддельные уведомления банков, извещения о доставке посылок, предупреждения об истечении срока действия пароля и предложения вернуть налог. Письма носят общий характер — атакующий не знает получателей лично. Несмотря на невысокую сложность, массовые фишинговые кампании приводят к огромному числу жертв по всему миру и ответственны за большинство случаев кражи учётных данных.

Целевой фишинг — это разновидность фишинга, при которой атакующий адаптирует сообщение под конкретного человека или небольшую группу. Attackers изучают цели в LinkedIn, социальных сетях, на сайтах компаний и в базах данных утечек, чтобы составлять убедительные сообщения с упоминанием настоящих имён, должностей, проектов или коллег. Такое письмо может выглядеть как сообщение от руководителя с просьбой срочно одобрить банковский перевод или как письмо от отдела кадров с вложением «обновление льгот». Персонализация значительно повышает вероятность успеха по сравнению с обычным фишингом.

Whaling — это целевой фишинг, направленный именно на высокопоставленных лиц: CEO, CFO, членов совета директоров и других руководителей высшего звена. Эти цели уполномочены одобрять крупные финансовые операции, имеют доступ к конфиденциальным данным и могут обходить политики безопасности. Успешная атака whaling может заставить CFO одобрить многомиллионный перевод на счёт, контролируемый атакующим; такая схема известна как Business Email Compromise (BEC). По оценке FBI, ежегодные потери от BEC превышали 3 миллиарда долларов. Руководители также становятся целями из-за доступа к интеллектуальной собственности, сведениям о слияниях и поглощениях и стратегическим планам.

Angler-фишинг нацелен на пользователей социальных платформ: атакующие создают поддельные аккаунты службы поддержки крупных брендов и отвечают пользователям, публикующим жалобы, заманивая их на поддельные страницы входа. Клон-фишинг создаёт копию настоящего письма (например, недавнего счёта или информационной рассылки), заменяет ссылки или вложения вредоносными версиями, а затем отправляет его повторно с поддельного адреса, утверждая, что это исправленный вариант. Клон-фишинг особенно эффективен, поскольку получатель узнаёт формат письма и отправителя, из-за чего его подозрительность значительно снижается.

Фарминг перенаправляет жертв на вредоносные сайты, не требуя от них нажимать на фишинговую ссылку. Обычно это достигается с помощью отравления кэша DNS (внедрения ложных записей DNS в преобразователь, чтобы настоящий домен разрешался в адрес сервера атакующего) или изменением локального файла hosts на устройстве жертвы. В отличие от фишинга, который требует от жертвы выполнить действие, фарминг работает даже в том случае, если пользователь напрямую вводит правильный URL в браузере. DNSSEC и проверка сертификатов HTTPS — основные технические меры защиты.

Один из важнейших навыков защиты от фишинга — анализ URL для выявления методов подмены. Attackers используют несколько методов: тайпсквоттинг (paypa1.com, g00gle.com), уловки с поддоменами (paypal.com.attacker.com — настоящий домен — attacker.com), сокращатели URL, скрывающие настоящий адрес назначения, и гомографические атаки с использованием символов Unicode, похожих на ASCII (xn--pple-43d.com использует кириллическую «а» для подмены apple.com). Специалистам по безопасности следует всегда наводить указатель на ссылки перед нажатием и использовать инструменты анализа URL для безопасного раскрытия сокращённых адресов.

Чтобы научить пользователей распознавать фишинг, необходимо объяснить им конкретные тревожные признаки. Проверяйте: адрес отправителя (совпадает ли отображаемое имя с фактическим доменом Email?), заголовки Email (отличается ли Return-Path или Reply-To от адреса From?), формулировки, выражающие срочность или угрозу и вынуждающие действовать быстро, неожиданные вложения или незапрошенные запросы на сброс пароля, а также ссылки, адрес которых не соответствует заявленному назначению. Наличие одного признака должно вызвать подозрение; несколько признаков вместе явно указывают на фишинг. Организациям следует определить понятный процесс сообщения о подозрительных письмах.

Многие фишинговые кампании направляют жертв на поддельные страницы входа, неотличимые от настоящих сайтов. Attackers копируют HTML/CSS реальных сайтов и размещают копии на похожих доменах или взломанных сайтах. Современные инструменты evilginx2 и Modlishka работают как обратные прокси: они перенаправляют жертву на настоящий сайт и одновременно перехватывают токены сеанса в реальном времени, обходя даже MFA. Пользователям следует обращать внимание на значок замка (HTTPS), но помнить, что HTTPS подтверждает только шифрование соединения, а не подлинность сайта. Журналы Certificate Transparency помогают выявлять фишинговые сайты, использующие похожие домены.

Вредоносные вложения доставляют вредоносное ПО непосредственно на конечное устройство жертвы. К распространённым форматам относятся документы Office с поддержкой макросов (.docm, .xlsm), которые запускают сценарии VBA, когда пользователь включает макросы; файлы PDF со встроенным JavaScript или ссылками; дисковые образы ISO/IMG (используемые для обхода защиты Windows Mark of the Web); а также сжатые архивы (.zip, .rar), содержащие исполняемые файлы, переименованные с вводящими в заблуждение расширениями. Организациям следует отключать макросы Office по умолчанию с помощью Group Policy и настраивать почтовые шлюзы на блокировку файлов типов с высоким уровнем риска.

Защита руководителей от атак китобойного фишинга требует сочетания технических средств и организационных процедур. С технической стороны следует принудительно применять DMARC с отклонением поддельных сообщений, якобы отправленных с домена организации, настроить почтовый шлюз на добавление предупреждающих баннеров к внешним сообщениям и подключить руководителей к устойчивой к фишингу многофакторной аутентификации (FIDO2). С точки зрения процедур следует установить правила внеполосной проверки: перед одобрением банковских переводов или передачей конфиденциальных данных необходимо напрямую позвонить инициатору запроса по известному номеру, независимо от того, насколько срочным кажется письмо. Проводите для руководителей отдельное обучение сценариям китобойного фишинга, поскольку общее обучение по вопросам безопасности часто не охватывает высшее руководство.

В этом уроке Вы узнали, что массовый фишинг использует большой охват, чтобы обмануть небольшой процент случайных получателей; целевой фишинг адресован конкретным людям и персонализирован с помощью исследования OSINT для создания убедительных сообщений; а китобойный фишинг нацелен на руководителей, имеющих полномочия в отношении финансов и конфиденциальных данных. Защита включает DMARC, устойчивую к фишингу многофакторную аутентификацию и процедуры внеполосной проверки. Далее мы рассмотрим атаки через голосовые вызовы и SMS: вишинг, смишинг и претекстинг.