Oblężone zabezpieczenia poczty e-mail: ataki phishingowe radykalnie poprawiają się

Raport z tego tygodnia, że ​​cyberatakujący skupiają się na tworzeniu ataków wyspecjalizowanych w: ominąć domyślne zabezpieczenia firmy Microsoft pokazuje alarmującą ewolucję taktyk phishingowych, poinformowali w tym tygodniu eksperci ds. bezpieczeństwa.

Podmioty wykorzystujące zagrożenia coraz lepiej radzą sobie z atakami phishingowymi przez słabe punkty w mechanizmach ochrony poczty e-mail platformy, korzystając z różnych technik, takich jak na przykład zaciemnianie czcionki punktu zerowego, ukrywanie się za usługami przesyłania wiadomości w chmurze i opóźnianie aktywacji ładunku. Robią też więcej ukierunkowania i badań nad ofiarami.

W rezultacie prawie 1 na 5 wiadomości phishingowych (18.8%) ominęła zabezpieczenia platformy Microsoft i trafiła do skrzynek odbiorczych pracowników w 2022 r., co jest wskaźnikiem, który wzrósł o 74% w porównaniu z 2020 r., wynika z badań opublikowanych 6 października przez firmę Check Point zajmującą się cyberbezpieczeństwem. Oprogramowanie. Atakujący coraz częściej wykorzystywali techniki do sprawdzania bezpieczeństwa, takie jak Sender Policy Framework (SPF) i zaciemniania funkcjonalnych składników wiadomości e-mail, takich jak używanie czcionek o zerowym rozmiarze lub ukrywanie złośliwych adresów URL przed analizą.

Rosnące możliwości atakujących wynikają z lepszego zrozumienia obecnych zabezpieczeń, mówi Gil Friedrich, wiceprezes ds. bezpieczeństwa poczty e-mail w Avanan, firmie zajmującej się bezpieczeństwem poczty e-mail. przejęty przez Check Point w sierpniu 2021 r..

„To rodzina technik od 10 do 20, ale wszystkie one prowadzą do oszukania warstw zabezpieczeń firmy”, mówi. „Rezultatem końcowym jest zawsze wiadomość e-mail, która dla odbiorcy wygląda na autentyczną, ale wygląda inaczej niż algorytm analizujący treść”.

Microsoft odmówił komentarza na temat badań. Jednak firma ma ostrzegany przed zaawansowanymi technikami, Takie jak phishing typu adversary-in-the-middle (AiTM), który wykorzystuje niestandardowy adres URL do umieszczenia serwera proxy między ofiarą a żądaną witryną, umożliwiając atakującemu przechwytywanie poufnych danych, takich jak nazwy użytkowników i hasła. W lipcu firma ostrzegała, że atakowano ponad 10,000 XNUMX organizacji podczas jednej kampanii AiTM.

Check Point nie jest jedynym dostawcą, który ostrzega, że ataki phishingowe stają się coraz lepsze. W ankiecie firma Proofpoint zajmująca się bezpieczeństwem poczty e-mail stwierdziła, że ​​83% organizacji doświadczyło udanego ataku phishingowego opartego na wiadomościach e-mail. prawie o połowę więcej niż doznało takiego ataku w 2020 roku. Firma Trend Micro, firma zajmująca się cyberbezpieczeństwem, odnotowała ponad dwukrotny wzrost liczby ataków phishingowych, rosnąc o 137% w pierwszej połowie 2022 r. w porównaniu z tym samym okresem w 2021 r. Półroczny raport cyberbezpieczeństwa 2022.

Tymczasem usługi cyberprzestępców, takie jak phishing jako usługa i złośliwe oprogramowanie jako usługa, zawierają najskuteczniejsze techniki w postaci łatwych w użyciu ofert. W ankiecie przeprowadzonej wśród testerów penetracyjnych i zespołów czerwonych, prawie połowa (49%) rozważała phishing i socjotechnikę być technikami ataku o najlepszym zwrocie z inwestycji.

Badania i rozpoznanie Informowanie o wyłudzaniu informacji

Atakujący również poprawiają się ze względu na wysiłek, jaki cyberprzestępcy podejmują w celu zbierania informacji na potrzeby atakowania ofiar za pomocą socjotechniki. Po pierwsze, wykorzystują ogromne ilości informacji, które można zebrać online, mówi Jon Clay, wiceprezes ds. analizy zagrożeń w firmie Trend Micro zajmującej się cyberbezpieczeństwem.

„Aktorzy badają swoje ofiary za pomocą inteligencji open source, aby uzyskać wiele informacji o swojej ofierze [i] tworzyć bardzo realistyczne wiadomości phishingowe, aby skłonić je do kliknięcia adresu URL, otwarcia załącznika lub po prostu zrobienia tego, co e-mail im każe, na przykład w przypadku ataków na firmową pocztę elektroniczną (BEC)”, mówi.

Dane sugerują, że napastnicy coraz lepiej analizują technologie obronne i określają ich ograniczenia. Aby obejść na przykład systemy wykrywające złośliwe adresy URL, cyberprzestępcy coraz częściej korzystają z dynamicznych stron internetowych, które mogą wydawać się wiarygodne, gdy wiadomość e-mail jest wysyłana na przykład o 2 w nocy, ale prezentują inną witrynę o 8 rano, gdy pracownik otworzy wiadomość .

Ulepszenia w obronie

Takie techniki nie tylko oszukują, ale wykorzystują asymetrię w obronie i ataku. Skanowanie każdego adresu URL wysyłanego w wiadomości e-mail nie jest skalowalną ochroną, mówi Friedrich z firmy Check Point. Uruchamianie adresów URL w pełnej piaskownicy, analizowanie linków do określonej głębokości i używanie przetwarzania obrazu w celu określenia witryn, które próbują naśladować markę, wymaga dużej mocy obliczeniowej.

Zamiast tego firmy zajmujące się bezpieczeństwem poczty e-mail wdrażają analizę „czasu kliknięcia”, aby rozwiązać ten problem.

„Istnieją pewne algorytmy lub testy, których nie można uruchomić na każdym adresie URL, ponieważ obliczenia są ogromne, w końcu stają się zabronione cenowo”, mówi. „Robiąc to w czasie kliknięcia, musimy przeprowadzić testy tylko na adresach URL, które użytkownicy faktycznie klikają, co stanowi ułamek, a więc 1% wszystkich linków w wiadomościach e-mail”.

Co więcej, rosnąca ochrona opiera się na uczeniu maszynowym i sztucznej inteligencji do klasyfikowania złośliwych adresów URL i plików w sposób, w jaki nie mogą tego dokonać systemy oparte na regułach, mówi Clay z firmy Trend Micro.

„Obsługa uzbrojonych załączników może być trudna dla tych kontroli bezpieczeństwa, które wciąż opierają się tylko na sygnaturach i nie mają zaawansowanych technologii, które mogą skanować plik za pomocą ML lub piaskownicy, które mogą wykryć wiele z tych złośliwych plików” – mówi. .

Dodatkowo, poprzednie oświadczenia firmy Microsoft zauważyli, że Office 365 zawiera wiele funkcji ochrony poczty e-mail omawianych przez innych dostawców, w tym ochronę przed podszywaniem się, wgląd w kampanie ataków oraz korzystanie z zaawansowanej heurystyki i uczenia maszynowego w celu rozpoznawania ataków phishingowych mających wpływ na całą organizację lub branżę.