Jeden link phishingowy, trzy sztuczki na filtry poczty i skanery adresów

SANS ISC opisał link phishingowy, w którym trzy sztuczki mają ominąć podstawowe zabezpieczenia poczty i filtry adresów. Nie ma tu poprawki do zainstalowania, bo nie chodzi o lukę w oprogramowaniu, tylko o sposób zbudowania adresu.

Pierwsza sztuczka to losowy ciąg przed znakiem @, który przeglądarka pomija jako dane logowania. Dzięki niemu każdy adres jest inny, więc listy blokad oparte na dokładnym dopasowaniu go nie znają, a część narzędzi bierze całość za adres e-mail. Druga to host gynd--.koncar-hr.com z myślnikiem na końcu etykiety. DNS i przeglądarki go obsługują, ale ścisłe walidatory i część rozwiązań przepisujących linki mogą go pominąć, a adres niewyodrębniony nie zostaje przeskanowany. Trzecia to adres ofiary w ścieżce, którym strona wypełnia formularz logowania.

Kogo dotyczy

Odbiorców poczty z takim linkiem. Domena koncar-hr.com podszywa się pod koncar.hr, chorwacką grupę przemysłową, a losowe subdomeny wskazują na wildcard DNS, więc każda ofiara może dostać nowy host, którego nie zna żadna lista blokad.