Νέα έρευνα αποκαλύπτει ότι το 90% των δεσμευμένων τομέων παρέχουν τώρα κακόβουλο λογισμικό, απάτες και επιθέσεις ηλεκτρονικού ψαρέματος

Το τοπίο των απειλών για την κυβερνοασφάλεια έχει αλλάξει δραματικά και οι σταθμευμένοι τομείς έχουν γίνει το κύριο όπλο για την παροχή κακόβουλου λογισμικού, απάτες και επιθέσεις phishing σε ανυποψίαστους χρήστες του Διαδικτύου.

Αυτό που κάποτε θεωρούνταν μια αβλαβής πρακτική δημιουργίας εσόδων από τομέα έχει μετατραπεί σε έναν επικίνδυνο φορέα επίθεσης που καλύπτει κακόβουλο περιεχόμενο πίσω από μια αθώα πρόσοψη.

Πρόσφατη έρευνα δείχνει ότι οι κίνδυνοι που σχετίζονται με τους σταθμευμένους τομείς έχουν αυξηθεί εκθετικά την τελευταία δεκαετία, αλλάζοντας θεμελιωδώς τον τρόπο με τον οποίο οι επαγγελματίες ασφάλειας πρέπει να προσεγγίζουν τις απειλές που βασίζονται σε τομείς.

Οι δεσμευμένοι τομείς είναι ουσιαστικά αδρανείς διευθύνσεις ιστού χωρίς ενεργούς ιστότοπους. Παραδοσιακά, οι κάτοχοι τομέα κερδίζουν χρήματα από αυτές τις αχρησιμοποίητες ιδιοκτησίες μέσω υπηρεσιών στάθμευσης που εμφανίζουν διαφημίσεις στους επισκέπτες.

Ωστόσο, η εισαγωγή της διαφήμισης άμεσης αναζήτησης —γνωστή και ως στάθμευση μηδενικού κλικ— έχει δημιουργήσει ένα εξελιγμένο οικοσύστημα όπου οι επισκέπτες ανακατευθύνονται αυτόματα με βάση τα χαρακτηριστικά της συσκευής, την τοποθεσία και τη συμπεριφορά περιήγησής τους.

Αυτή η δυνατότητα σχεδιάστηκε για να παρέχει σχετικό περιεχόμενο, αλλά έχει γίνει ένας μηχανισμός για τη διανομή κακόβουλου λογισμικού και τη διεξαγωγή απάτης σε κλίμακα.

Η επίθεση ξεκινά όταν οι χρήστες επισκέπτονται ακούσια όμοιους τομείς λόγω απλών τυπογραφικών σφαλμάτων. Ένας ερευνητής που προσπαθούσε να επισκεφθεί το Κέντρο Παραπόνων Διαδικτυακού Εγκλήματος του FBI πλοηγήθηκε κατά λάθος στο ic3[.]org αντί για ic3[.]gov, μόνο για να ανακατευθυνθεί σε μια ψεύτικη σελίδα “Η συνδρομή στο Drive έχει λήξει”.

Αυτό το σενάριο αντιπροσωπεύει την κορυφή του παγόβουνου, καθώς οι φορείς απειλών καταγράφουν σκόπιμα και οπλίζουν χιλιάδες από αυτούς τους τομείς.

Αναλυτές του Infoblox αναγνωρισθείς αυτό το κακόβουλο περιεχόμενο εμφανίζεται τώρα σε πάνω από το 90% των επισκέψεων σε δεσμευμένους τομείς, σε σύγκριση με λιγότερο από 5% σε προηγούμενες μελέτες που πραγματοποιήθηκαν πριν από μια δεκαετία.

Η τεχνική υποδομή που οδηγεί αυτές τις επιθέσεις λειτουργεί μέσω εξελιγμένων μηχανισμών δημιουργίας προφίλ επισκεπτών.

Όταν οι χρήστες προσγειώνονται σε έναν σταθμευμένο τομέα, αντιμετωπίζουν ελαφρύ δακτυλικό αποτύπωμα που συλλέγει πληροφορίες συσκευής, δεδομένα γεωγραφικής τοποθεσίας και χαρακτηριστικά του προγράμματος περιήγησης. Αυτά τα δεδομένα καθορίζουν εάν ο επισκέπτης ανακατευθύνεται σε μια αβλαβή σελίδα στάθμευσης ή σε κακόβουλο περιεχόμενο.

Οι νόμιμοι σαρωτές ασφαλείας και οι χρήστες VPN συνήθως συναντούν καλοήθεις σελίδες. Αντίθετα, οι πραγματικοί χρήστες από οικιακές διευθύνσεις IP δρομολογούνται μέσω συστημάτων διανομής κίνησης που λειτουργούν από διαφημιστικά δίκτυα, με αποτέλεσμα πολλαπλά επίπεδα ανακατεύθυνσης πριν φτάσουν σε κακόβουλο περιεχόμενο.

Συσκευή δακτυλικών αποτυπωμάτων και διανομής κυκλοφορίας

Το σύστημα δημιουργίας προφίλ συλλέγει ολοκληρωμένη ευφυΐα συσκευής μέσω εκτέλεσης JavaScript. Αυτό περιλαμβάνει διαστάσεις οθόνης, αναλογίες εικονοστοιχείων, δυνατότητες WebGL, δυνατότητες ήχου, διαθεσιμότητα αποθήκευσης και λεπτομέρειες σύνδεσης δικτύου.

Μια θυγατρική της διαφημιστικής πλατφόρμας ExplorAds εφάρμοσε ένα εξελιγμένο σενάριο δακτυλικών αποτυπωμάτων που περιείχε σχόλια στη ρωσική γλώσσα που έστελνε δεδομένα συσκευής με κωδικοποίηση base64 στο σύστημα διανομής επισκεψιμότητας.

Αυτό το επίπεδο τεχνικής πολυπλοκότητας αποκαλύπτει μια επαγγελματικά διαχειριζόμενη λειτουργία και όχι τυχαία κατάχρηση. Τρεις κύριοι κάτοχοι χαρτοφυλακίου τομέα διαχειρίζονται πλέον αυτά τα κακόβουλα οικοσυστήματα.

Ένας ηθοποιός ελέγχει σχεδόν 3.000 όμοιους τομείς μέσω αποκλειστικών διακομιστών ονομάτων, συμπεριλαμβανομένου του Gmail.com, ενός Gmail typosquat που χρησιμοποιείται ενεργά σε καμπάνιες phishing με συνημμένα κακόβουλου λογισμικού Trojan.

Ένας άλλος χρησιμοποιεί τεχνικές διπλής γρήγορης ροής με περιστρεφόμενους διακομιστές ονομάτων, όπως τα koaladns[.]com και quokkadns[.]com.

Ένα τρίτο μέρος κατέχει το domaincntrol[.]com, το οποίο διαφέρει από το νόμιμο domaincntrol της GoDaddy[.]com με ένα μόνο γράμμα και στοχεύει πάνω από 30.000 εσφαλμένα διαμορφωμένους τομείς.

Η σύγκλιση της τεχνητής νοημοσύνης που δημιουργείται, οι εξαγορές ληγμένων τομέων και τα εσκεμμένα καταχωρημένα τυπογραφικά κουβάρια έχουν δημιουργήσει ένα οικοσύστημα στο οποίο οι εγκληματίες επωφελούνται από απλά λάθη των χρηστών. Την ίδια στιγμή, οι ομάδες ασφαλείας αγωνίζονται να αποδώσουν και να μπλοκάρουν αυτές τις απειλές.