ساخت ابزاری جدید که با حملات فیشینگ تایید هویت دو مرحله‌ای را دور می‌زند

ابزار نفوذی جدیدی توسط یک محقق امنیت تولید شده که می‌تواند با خودکار کردن حملات فیشینگ به راحتی فرایند ورود به حساب کاربری را دور بزند. این ابزار جدید حتی قادر است تا وارد حساب‌هایی شود که از سیستم تایید هویت دو مرحله‌ای استفاده می‌کنند.

نام این ابزار Modlishka است که در واقع تلفظ انگلیسی کلمه‌ی مانتیس به زبان لهستانی به شمار می‌رود. این ابزار جدید توسط Piotr Duszynski تولید شده است. Modlishka ابزاری محسوب می‌شود که متخصصان فناوری و اطلاعات آن را پراکسی معکوس می‌خوانند اما به منظور کنترل ترافیک برای صفحات لاگین و عملیات فیشینگ مورد استفاده قرار می‌گیرد.

کلیک کنید

این ابزار واسطه‌ای به شمار می‌رود بین کاربر و وبسایت مورد هدف واقع شده -مثل جیمیل، یاهو یا پروتون میل. قربانیان فیشینگ به سرور Modlishka متصل می‌شوند و یک پراکسی معکوس که در پس زمینه‌ی این نرم افزار ایجاد شده، درخواست‌ها را به وبسایت مورد نظر ارسال می‌کند و خود را به جای کاربر حقیقی جا می‌زند.

قربانی همه‌ی صفحات قانونی را مشاهده می‌کند اما همه‌ی ترافیک وارد شده‌ی وی از طریق درگاهی به سرور‌های Modlishka انتقال پیدا می‌کند.

هر رمز عبور وارد شده توسط کاربر به طور خودکار به پنل پشت صحنه‌ی Modlishka ارسال خواهند شد. سپس وبسایت مذکور از کاربران می‌خواهد که به تایید دو مرحله‌ای هویت خود بپردازند. اگر مهاجمین بخواهند توکن‌ها (یک رشته کد یگانه برای تشخیص هویت در امور مختلف نرم افزاری) را در لحظه به دست بیاورند می‌توانند از آن برای ورود به حساب کاربر استفاده کنند.

به خاطر این طراحی ساده، مادلیشکا هیچ استفاده‌ای از «Templates» ندارد؛ اصطلاحی که فیشر‌ها (افرادی که حملات فیشینگ را انجام می‌دهند) برای توصیف کلون کردن وبسایت‌ها (ایجاد ظاهری تقلبی اما یکسان با وبسایت‌های هدف) به کار می‌برند. به جای این کار مهاجمین تنها کافیست که یک دامنه به خود اختصاص دهند (تا روی سرور‌های مادلیشکا عمل میزبانی را انجام دهد) و یک گواهینامه‌ی TLS داشته باشند تا صفحات برای قربانیان تحت پروتکل HTTPS نمایش داده شود.

آخرین گام ایجاد فایل پیکربندی مخصوص است که قربانی را به سمت وبسایت بکشاند و قبل از اینکه متوجه دامنه‌ی فیشینگ شود، اطلاعات خصوصی‌اش به سرقت برود.

با وجود چنین ابزاری، بسیاری از افراد می‌توانند به ایجاد صفحات فیشینگ بپردازند و این کار را به سادگی انجام دهند. وقتی از Duszynski سوال پرسیده شد که چرا چنین نرم افزاری را به صورت رایگان در اختیار دیگران قرار داده، او پاسخ داد که باید با ریسک‌های موجود رو به رو شویم و آن‌ها را به صورت عمومی بیان کنیم. او بر این عقیده است که پنهان ماندن راه‌های نفوذ کار را برای هکر‌های حرفه‌ای بسیار ساده‌تر خواهد کرد.

مادلیشکا در حال حاضر به صورت رایگان از طریق گیت هاب در دسترس قرار دارد و می‌توانید اطلاعات تکمیلی راجع به این نرم افزار را از بلاگ طراحش مطالعه نمایید.

مطالب مرتبط

با سولارین آشنا شوید؛ موبایلی 14 هزار دلاری که گفته می شود ایمن ترین تلفن همراه دنیاست

صنعت تلفن های هوشمند هر روز که می گذرد شکل رقابتی تری به خود می گیرد و اگر بخواهیم ساده تر گوییم رقابت درآن دشوارتر می شود، اما این مساله به هیچ وجه مانع از آن نمی شود که تازه کارها بخت خود را برای موفقیت در این بازار بیازمایند. در هر حال، همه این شرکت... ادامه مطلب

انتشار نوعی بدافزار که دوربین های امنیتی را به بات نت بدل می کند

دوربین های مدار بسته بیشتر با هدف افزایش ایمنی و امنیت جوامع به کار گرفته می شوند اما برخی از بدافزارهای می توانند آنها را به سلاح های خطرناک بدل کنند. پژوهشگران مرکز Incapsula کدی را کشف کرده اند که حدود 900 دوربین مدار بسته لینوکسی را به بات نت بدل کرده و آن بات نت ها... ادامه مطلب

ورود به حساب کاربری به واسطه اسکن مغز در آینده نزدیک میسر خواهد شد

از آنجا که احتمال حدس زدن و هک نمودن رمزهای نوشتاری زیاد است، این روزها بیشتر کمپانی های فعال در حوزه فناوری به حسگرهای زیستی همانند سنسور تشخیص اثر انگشت روی آورده اند تا به واسطه ی آن امنیت اطلاعات کاربر را تضمین نمایند. این سیستم هر روز بیشتر از پیش توسعه پیدا می کند به... ادامه مطلب

نقص امنیتی لینوکس، اطلاعات 1.4 میلیارد کاربر اندروید را در معرض خطر قرار داده است

ظاهراً هر ماه یک بار باید شاهد آسیب پذیری های تازه ای در اندروید باشیم. طبق اخبار منتشر شده از سوی مؤسسه امنیتی Lookout بیش از 80 درصد از کاربران سیستم عامل موبایلی گوگل در معرض خطر هستند، و هکرها می توانند اطلاعاتی همچون نام کاربری و رمز عبور را از ابزارهای آنها به سرقت... ادامه مطلب

فیس بوک، واتس اپ، اسنپ چت و گوگل سرویس های خود را به سمت رمزگذاری E2EE خواهند برد

پس از ماجراهای اپل و دولت آمریکا مبنی بر باز نکردن قفل آیفون یک تروریست توسط شرکت فناوری یاد شده، مسئله ی رمزگذاری و حفظ امنیت کاربران به یک مقوله بسیار جدی تر برای کمپانی های فعال در حوزه تکنولوژی تبدیل گشته و بیشتر آنها تصمیم گرفته اند راهکارهای تازه ای در این راستا لحاظ... ادامه مطلب

نیم میلیون نفر از کاربران اندروید از پلی استور بدافزار دانلود کرده‌اند

فراگیر شدن اپلیکیشن‌های تقلبی که از آن‌ها به عنوان بدافزار یاد می‌شود موضوع تازه‌ای نیست، اما یک محقق حوزه امنیت در مطالعاتش به این نتیجه رسیده که حدود پانصد هزار نفر از کاربران پلی استور به خیال دانلود یک بازی ریسینگ، بدافزار دانلود کرده‌اند. این بدافزار‌ها توسط محقق امنیت سایبری «لوکاس استفنکو» پیدا شده که در... ادامه مطلب

نظرات ۰

وارد شوید

برای گفتگو با کاربران، وارد حساب کاربری خود شوید.

ورود
x