מחזור החיים של קמפיין פישינג
עד כה, כל מדריך התמקד בפרט אחד מהבעיה: קריאת כותרות, זיהוי ספק האחסון, כתיבת דיווח יעיל. מדריך זה מתרחק צעד אחורה ומציג את הקמפיין כולו, מיצירתו ועד לסופו, שלרוב ממשיך בקמפיין חדש שמתחיל במקום אחר. זוהי מפה: היא ממקמת כל מדריך במקומו הנכון במסע.
שלב 1 — בניית התשתית
לפני שקורבן כלשהו רואה דבר, יש להכין ארבעה מרכיבים:
- רישום דומיין: שם נרכש מכל רשם שהוא, לעיתים נבחר כדי להיות דומה ככל האפשר למותג מוכר, באמצעות תווים המחקים אותיות לטיניות (ראו פוניקוד ודומיינים הומוגרפיים).
- הגדרת DNS: הדומיין מופנה לשרת העתידי תוך דקות ספורות בלבד.
- אחסון: שרת מושכר במחיר של כמה יורו, או אתר לגיטימי שכבר נפרץ מוחטף; לעיתים מתווסף CDN מלפנים כדי להסתיר את הכתובת האמיתית (ראו מי שולט במה בין הרשם, ספק האחסון ו-CDN).
- פרסום האתר המזויף: עותק פחות או יותר נאמן של דף ההתחברות המקורי מוצב על שרת זה.
שלב 2 — שיגור ההתקפה
ברגע שהתשתית מוכנה, הקמפיין יכול להתחיל:
- שליחת הדוא"ל: הודעה מופצת בהמוניה, לרוב מאותו שרת מושכר או מתיבת דואר חטופה (ראו כיצד רמאים שולחים את הדוא"ל שלהם).
- איסוף הנתונים: כל קורבן שמזין את פרטי ההזדהות שלו באתר המזויף שולח אותם ישירות לרמאי בזמן אמת.
שלב 3 — התגובה
זהו השלב הארוך ביותר, והשלב שבו כל גורם מעורב יכול להשפיע על מה שקורה בהמשך:
- גילוי: קורבן שם לב לתרמית, מסנן טכני מזהה חריגה, או חוקר נתקל בקמפיין במקרה (ראו משחק החתול והעכבר בין חוקרים לתוקפים).
- דיווח: המרכיבים הנכונים (כתובת URL, IP, כותרות, חותמת זמן) נאספים ונשלחים לגורם הנכון (ראו אנטומיה של דיווח פעיל), לאחר מציאת כתובת ה-abuse@ שלו מראש (ראו מציאת כתובת ה-abuse@ של ספק האחסון).
- השעיה: הרשם עוצר את השם, ספק האחסון מכבה את המכונה — כל אחד פועל רק על החוליה שלו, והקמפיין נעצר באמת רק כששניהם קורים.
- החלפת תשתית: אם הקמפיין רווחי, הוא לא בהכרח נעצר שם. דומיין חדש, לעיתים אצל רשם אחר, מתחיל מחדש את המחזור משלב ①.
שלב אחרון זה בדיוק מסביר מדוע דיווח מצליח לעיתים רחוקות פעם אחת ולתמיד: השעיית דומיין מסיימת את הקמפיין הספציפי הזה, אך לא בהכרח את הארגון שמאחוריו. לכן משתלם להישאר ערניים גם לאחר ההשבתה הראשונה.
- קמפיין פישינג עוקב אחר מסלול של עשרה שלבים, המקובצים בשלושה שלבים: בנייה, התקפה, תגובה.
- כל שלב משאיר עקבה שונה: דומיין, הגדרת DNS, שרת, כותרת דוא"ל.
- התגובה פועלת על שני מנופים שונים, שם הדומיין והשרת, שמשלימים זה את זה במקום להחליף זה את זה.
- השבתת קמפיין לא בהכרח עוצרת את מבצעיו: מחזור חדש עשוי להתחיל מחדש עם תשתית חדשה.
Baitback נכנס לתמונה בדיוק בשלב ⑧ של מפה זו: מדוא"ל או קישור, הכלי בונה מחדש את השלבים הקודמים (דומיין, IP, ספק אחסון) כדי להכין את הדיווח שמפעיל את ההשעיה.