אנטומיה של ערכת פישינג: מה קורה מאחורי הדף המזויף

דף פישינג כמעט אף פעם לא נכתב ידנית. ברוב המכריע של המקרים הוא יוצא מתוך ארכיון מוכן מראש, ערכת פישינג: קובץ .zip שמורידים, מעלים לשרת שכור או פרוץ, וכעבור דקות ספורות הוא פעיל. הנה מה שמסתתר מתחת למכסה המנוע, מהחזית ועד לנתונים הגנובים.

ערכת כלים שמותקנת תוך חמש דקות

החלק הראשון בערכה הוא החזית: העתק של קוד ה-HTML, ה-CSS וה-JavaScript של אתר אמיתי (בנק, שירות הודעות, רשות המסים…). להשיג את הקוד הזה קל, כל דפדפן מאפשר לשמור אותו. תפקידה של הערכה הוא להפוך אותו לפעיל: שדות הקלט מחוברים לסקריפט שלוכד כל מה שמוקלד בהם, במקום לבדוק סיסמה מול השירות האמיתי.

כדי לשרוד זמן רב יותר, הערכה מסתירה לעיתים קרובות את אופן פעולתה. הסקריפט שלוכד את הנתונים מקודד לעיתים תכופות (ב-Base64, למשל), מה שהופך אותו לבלתי קריא במבט חטוף וקשה יותר לזיהוי על ידי זחלן אינטרנט או סורק אבטחה אוטומטי שסורק את הקוד בחיפוש אחר מילות מפתח ידועות. זו אינה הצפנה חזקה: אדם שמקדיש זמן לפענח את הסקריפט מצליח בכך ללא קושי. מדובר בעיקר בדרך להרוויח שעות או ימים אחדים לפני שהערכה מתגלה.

מה הדף בודק בזמן שהקורבן מקליד

ערכה בנויה היטב אינה מסתפקת ברישום כל דבר. היא מאמתת את הקלט בזמן אמת, בדיוק כפי שהיה עושה האתר האמיתי, משתי סיבות: ליצור אשליה של טופס רציני, ובעיקר לא להציף את התוקף בנתונים חסרי תועלת.

• תבנית כתובת הדוא"ל נבדקת עד לתו הבודד (קיום "@", דומיין תקין…).
• מספר כרטיס האשראי עובר דרך אלגוריתם לוהן (Luhn): נוסחה מתמטית פשוטה הבודקת האם רצף של שש עשרה ספרות יכול להתאים לכרטיס אמיתי, בלי לדעת דבר על הכרטיס עצמו. מספר שהומצא באקראי כמעט תמיד נכשל במבחן הזה; הערכה דוחה את הקלט ומבקשת שוב את פרטי הכרטיס, תוך יצירת רושם של אתר קפדני.

החלק היעיל ביותר, והדיסקרטי ביותר, נוגע לאימות דו-שלבי (MFA / 2FA). ערכות רבות מהשנים האחרונות מציגות, מיד לאחר הקלדת הסיסמה, מסך טעינה בסגנון "מתבצע אימות…". במקביל, מאחורי הקלעים, התוקף מתחבר בזמן אמת לאתר האמיתי עם פרטי ההזדהות שנגנבו זה עתה. האתר האמיתי שולח אז קוד אמיתי בהודעת SMS לקורבן, שמקליד אותו בדף המזויף מתוך אמון מלא: הערכה מעבירה אותו מיד לתוקף, שמזין אותו בתורו באתר האמיתי. הקורבן רואה רק מסך שמסתובב קצת יותר זמן; התוקף, לעומת זאת, זה עתה קיבל גישה מלאה, כולל קוד חד-פעמי.

מנגנון זה נותר תדרוך ידני, שעל התוקף לאמת בעצמו. קיימות גרסאות אוטומטיות בהרבה, שבהן שרת מציב את הדף המזויף בין הקורבן לאתר האמיתי ללא כל מעורבות אנושית: זהו נושאו של המדריך AiTM: כשפישינג גונב את ההפעלה שלך, לא רק את הסיסמה.

לאן הנתונים באמת הולכים: שלוש דלתות יציאה

לאחר האימות, הנתונים חייבים לצאת מהשרת כדי להגיע לתוקף. שלושה ערוצים חוזרים ללא הרף בערכות הנוכחיות:

• webhooks של טלגרם או דיסקורד: השיטה הנפוצה ביותר כיום. הערכה שולחת בקשה פשוטה לערוץ פרטי בטלגרם או בדיסקורד, וכל פרט הזדהות גנוב מופיע באופן מיידי בשיחה, בטלפון של התוקף. מהיר, חינמי, וקשה לזיהוי מבלי להסתכל על קוד המקור של הדף.
• שליחת הודעות דוא"ל: הערכה משתמשת בפונקציה mail() של שפת PHP כדי להעביר כל קלט כדוח טקסט קצר, לכתובת שנבחרה על ידי התוקף.
• קובצי יומן מקומיים: פרימיטיבי יותר, הערכה כותבת כל פרט נתונים גנוב לקובץ מוסתר (.txt או .csv) ישירות על השרת, שהתוקף יבוא לאסוף מאוחר יותר.

שלושת הערוצים הללו אינם סותרים זה את זה: ערכות רבות משלבות webhook מיידי כדי לקבל התראה מיידית, וקובץ גיבוי למקרה שה-webhook יפסיק לפעול.

המסך יורד: הפניה מחדש וניקיון

לאחר שהנתונים יצאו, הדף המזויף אינו נעצר באחת: הוא מפנה את הקורבן לדף ההתחברות האמיתי של השירות המחוקה (למשל login.live.com), לעיתים קרובות עם הודעת שגיאה לא בולטת. האפקט המבוקש מדויק: הקורבן חושב שטעה בהקלדת הסיסמה, מקליד מחדש את פרטי ההזדהות שלו באתר האמיתי, מתחבר כרגיל… ואינו חושד בכלום.

חלק מהערכות הולכות רחוק יותר ומגנות על עצמן לאחר סיבוב ראשון מוצלח: מחיקת יומנים שעלולים לחשוף את אופן פעולתן, או חסימת כתובת ה-IP של הקורבן כך שביקור שני (למשל של חוקר שחוזר לבחון את הדף) ייתקל בדף ריק או בשגיאה, במקום במלכודת המלאה.

כיצד מבנה כה מהודק מתמוטט בסופו של דבר

למרות כל הקפדה הזו, ערכות משאירות עקבות שניתן לנצל. הנפוצה ביותר היא שגיאת תצורה בשרת: תיקייה פתוחה (directory listing), המאפשרת לכל אחד לדפדף בתיקיית האתר, ועימה להוריד את ארכיון ה-.zip של הערכה בדיוק כפי שהועלה. ברגע שהארכיון הזה נמצא בידיים, חוקר מוצא לעיתים קרובות, בטקסט גלוי או מקודד בקושי, את פרטי ההזדהות שבאמת חשובים: אסימון (token) הבוט של טלגרם, מזהה ערוץ הדיסקורד, או כתובת הדוא"ל לקבלה.

פרטי הזדהות אלה אינם נוגעים לדף בודד: אותו אסימון בוט משמש לעיתים קרובות במספר קמפיינים של אותו תוקף. דיווח עליו לטלגרם או לדיסקורד יכול אפוא לנתק בבת אחת סדרה שלמה של אתרים, הרבה מעבר לזה שנמצא. זהו אותו עיקרון כמו עם תשתית שליחת הדוא"ל, המפורטת במדריך ניתוח מקרה פישינג: מההודעה עד לתשתית: כל רכיב שנמצא הוא גם מנוף, והשרת המארח את הערכה עדיין ניתן לדיווח אצל ספק האחסון שלו כמו כל דף פישינג אחר (ראו איתור כתובת הדיווח הנכונה אצל ספק אחסון).

לפני שמגיעים לשלב זה, התגובה הראשונה נותרת בדיקת הקישור שהוביל לדף. על ידי הדבקת הודעת הדוא"ל החשודה ב-Baitback, הכלי עוקב אחר ההפניות, מזהה את שרת השליחה ואת ספק האחסון שלו, ומכין ישירות את הודעות הדיווח, מבלי שיהיה צורך לחפש בעצמכם בקוד הערכה.