Linki phishingowe są tworzone tak, aby przetrwać pobieżne spojrzenie. Jest nazwa marki, jest kłódka, strona wygląda jak trzeba. Nauka czytania adresu URL tak, jak czyta go przeglądarka, zajmuje kilka minut i pozwala wychwycić większość opisanych niżej sztuczek.
Przykłady w tym artykule wykorzystują naszą własną domenę angelforce.eu oraz zastrzeżone domeny przykładowe. Nie należy odwiedzać domen łudząco podobnych, aby je sprawdzić.
Część, która ma znaczenie – domena rejestrowalna
Adres strony składa się z kilku części. Tylko jedna z nich mówi, kto kontroluje stronę.
https://login.angelforce.eu.account-check.example/session/verify?ref=angelforce.eu| Część | Wartość | Kto ją kontroluje |
|---|---|---|
| Schemat | https | Nic nie mówi o tym, kto jest właścicielem strony |
| Subdomeny | login.angelforce.eu | Właściciel domeny rejestrowalnej |
| Domena rejestrowalna | account-check.example | Właściciel domeny – to jest właśnie ta strona |
| Ścieżka i zapytanie | /session/verify?ref=angelforce.eu | Właściciel domeny, który może tu wpisać cokolwiek |
Nazwę hosta należy czytać od prawej do lewej. Zaczynamy od końcówki .example i bierzemy jeszcze jeden człon w lewo. Ta para to domena rejestrowalna, a ten, kto ją zarejestrował, kontroluje wszystko, co znajduje się na lewo od niej. Nasza nazwa pojawia się w powyższym linku dwa razy i żadne z tych wystąpień nic nie znaczy.
Niektóre końcówki wymagają dwóch lub więcej członów. co.uk to sufiks publiczny, więc w shop.example.co.uk domeną rejestrowalną jest example.co.uk. Przeglądarki korzystają tu z rozwijanej przez społeczność listy Public Suffix List, np. po to, aby wyróżnić na pasku adresu najważniejszą część domeny.
Kłódka i https oznaczają tylko, że połączenie jest szyfrowane. Każdy może uzyskać certyfikat dla kontrolowanej przez siebie domeny, także atakujący.
Domeny łudząco podobne
Najprostsza sztuczka to domena, która na pierwszy rzut oka wygląda jak Państwa domena:
- zamieniona litera:
angeIforce.eu, z wielką literą I zamiast małej litery l, które w wielu krojach pisma wyglądają tak samo - dodatkowe słowo:
angelforce-security.eulubangelforce-eu.com - inna końcówka:
angelforce.cozamiastangelforce.eu
Żadna z nich nie należy do nas. Każdą z nich mógłby zarejestrować ktokolwiek.
Homografy i punycode
Nazwy domen mogą zawierać litery z innych alfabetów. W DNS są one zapisywane w postaci ASCII zaczynającej się od xn--, tworzonej przez algorytm o nazwie Punycode. Cyrylicka litera „а” w większości krojów pisma wygląda tak samo jak łacińskie „a”, więc:
аngelforce.eu (first letter is Cyrillic)
xn--ngelforce-zyh.eu (what DNS actually sees)(Pierwsza litera pierwszej nazwy to cyrylica; druga linia pokazuje, co faktycznie widzi DNS.)
Chrome wyświetla człon w postaci xn--, gdy miesza on pisma w ryzykowny sposób, np. łacinkę z cyrylicą. Wychwytuje też nazwy zapisane w całości łudząco podobnymi literami, takie jak аррӏе.com, którą pokazuje jako xn--80ak6aa92e.com, oraz nazwy łudząco podobne do popularnych domen.
Nie należy polegać wyłącznie na tym. Te mechanizmy najlepiej chronią znane domeny i nie dotyczą tekstu linku w wiadomości e-mail, który może zawierać cokolwiek. Jeśli w nieoczekiwanym linku pojawi się xn--, należy traktować go jako podejrzany.
Sztuczka z @
Jeśli znak @ pojawia się przed pierwszym / po https://, wszystko przed nim to „informacje o użytkowniku”, a nie host. RFC 3986 ostrzega, że tę część można spreparować tak, by wyglądała jak zaufana nazwa domeny.
https://www.angelforce.eu@203.0.113.50/loginTen link prowadzi do serwera pod adresem 203.0.113.50. Część www.angelforce.eu jest traktowana jako nazwa użytkownika, a nie jako cel. Prawowita usługa praktycznie nie ma powodu, aby wysyłać link zawierający @ przed hostem.
Skracacze linków i kody QR
Krótkie linki i kody QR ukrywają cel do momentu kliknięcia lub zeskanowania. Do tego właśnie służą i z tego samego powodu korzystają z nich atakujący. NCSC zaleca ostrożność przy skanowaniu kodów QR z wiadomości e-mail. Krótki link należy rozwinąć w narzędziu do sprawdzania linków przed jego otwarciem albo przejść bezpośrednio do usługi.
Otwarte przekierowania
Niektóre prawowite strony mają funkcję przekierowania, która wysyła odwiedzających pod dowolny adres podany w parametrze. Ściągawka OWASP dotycząca niezweryfikowanych przekierowań pokazuje taki wzorzec:
https://example.com/example.php?url=https://malicious.example.comLink zaczyna się od prawdziwej, zaufanej domeny i właśnie o to chodzi. Należy szukać parametrów takich jak url=, next=, redirect= czy return=, które zawierają drugi pełny adres. To prawdopodobnie tam trafi odwiedzający.
Mylące ścieżki i subdomeny
Nazwy marek w ścieżce lub w subdomenach nic atakującego nie kosztują:
https://secure-login.example/angelforce.eu/microsoft365/signin
https://angelforce.eu.secure-login.example/Oba linki należą do secure-login.example. Długie ścieżki z nazwami marek, słowa takie jak „secure”, „verify” czy „account” (bezpieczny, weryfikuj, konto) i mnóstwo losowych znaków nie dowodzą phishingu, ale są powodem, aby przyjrzeć się bliżej.
Nieznane domeny najwyższego poziomu
Niektóre domeny najwyższego poziomu wyglądają jak coś innego. .zip jest delegowaną domeną najwyższego poziomu od 2014 roku, więc invoice.zip może być stroną internetową, a nie plikiem. Link zakończony nazwą pliku wcale nie musi prowadzić do pliku.
Praktyczne nawyki
- Przed kliknięciem najechać kursorem lub przytrzymać link palcem i odczytać prawdziwy cel, a nie tekst linku.
- Na ważne strony wchodzić samodzielnie. Do banku, systemu płacowego czy logowania do Microsoft 365 lub Google warto używać zakładek albo wpisywać adres ręcznie.
- Weryfikować u nadawcy znanym kanałem. NCSC zaleca bezpośredni kontakt z organizacją przy użyciu danych z jej oficjalnej strony, a nie tych podanych w wiadomości.
- Korzystać z menedżera haseł. Wypełnia hasła tylko na stronie, dla której zostały zapisane, więc nie zaproponuje hasła w domenie łudząco podobnej. Klucze dostępu (passkeys) idą dalej, ponieważ każdy z nich jest powiązany z prawdziwą stroną.
- Uważać na presję. NCSC wymienia autorytet, pilność, emocje, ograniczoną dostępność i bieżące wydarzenia jako typowe haczyki w wiadomościach oszustów.
- Zgłaszać podejrzane wiadomości. Zgłoszona podejrzana wiadomość pomaga chronić współpracowników, nawet jeśli nikt w nią nie kliknął.
Od czego zacząć
Podejrzany link można wkleić do naszego analizatora linków phishingowych, aby zobaczyć, dokąd naprawdę prowadzi, bez jego otwierania. Jeśli sama wiadomość wydaje się podejrzana, nasz analizator nagłówków e-mail pokaże, które serwery ją obsługiwały i czy przeszła SPF, DKIM i DMARC.
Jeśli chcą Państwo nauczyć swój zespół czytać linki w ten sposób, pomoże w tym nasza usługa doradztwa i szkoleń.
