211service.com
Tracciamento di siti Web di phishing subdoli
Nel mondo delle frodi online, come nella vita reale, più a lungo i criminali possono operare senza essere scoperti, più soldi potranno guadagnare. E gli esperti hanno scoperto che molti phisher, truffatori che usano siti Web falsi per indurre gli utenti a fornire preziose informazioni personali, hanno trovato un trucco che rende più difficile per i buoni bloccarli o chiuderli.
Eliminato il phishing: I ricercatori dell'Università dell'Indiana (da sinistra a destra, Andrew Kalafut, Youngsang Shin e Minaxi Gupta) stanno studiando un trucco utilizzato per rendere i siti di phishing più difficili da rilevare e bloccare.
Il trucco, soprannominato flusso, consente a un sito fasullo di cambiare il proprio indirizzo su Internet molto rapidamente, rendendo difficile per i difensori bloccare questi siti o avvisare gli utenti ignari. Secondo una ricerca recentemente pubblicata sulla rivista Sicurezza e privacy IEEE , circa il 10% dei siti di phishing utilizza il flusso per nascondersi.
Flux utilizza il sistema dei nomi di dominio di Internet, che è responsabile della corrispondenza di un indirizzo Web digitato in un browser con il server che ospita effettivamente un sito. Quando un utente tenta di visitare una pagina Web, il sistema dei nomi di dominio indirizza prima l'utente a un server dei nomi, che mantiene un elenco aggiornato di indirizzi di siti. Questo server dei nomi indica quindi al browser dell'utente dove trovare il sito desiderato.
Normalmente, solo un piccolo numero di macchine ospita copie di un sito, quanto basta per mantenerlo attivo se qualcosa va storto. I siti fraudolenti, tuttavia, sono una storia diversa. I siti di phishing sono spesso ospitati attraverso botnet, migliaia di macchine dirottate distribuite in tutto il mondo.
Queste macchine non appartengono ai furfanti, appartengono a te, a me e alle nostre nonne, dice Minaxi Gupta , un assistente professore di informatica presso l'Università dell'Indiana che è stato coinvolto nella ricerca. Poiché i phisher hanno accesso a così tante macchine, spiega, possono usarle tutte per spostare rapidamente un sito, allontanando i difensori dalle tracce e mantenendo il sito web disponibile.
Per utilizzare il flusso, un phisher deve controllare un nome di dominio, il che gli conferisce il diritto di controllare il suo server dei nomi. Il phisher imposta quindi il server dei nomi in modo che indirizzi ogni nuovo visitatore a un diverso insieme di macchine, scorrendo rapidamente le migliaia di indirizzi disponibili all'interno della botnet. Gupta osserva che il flusso è più efficace quando il phisher sposta anche la posizione del server dei nomi. Se anche il server dei nomi si sposta in posizioni diverse su Internet, è doppiamente difficile per i difensori individuare una posizione centrale in cui chiudere il sito Web fasullo. Il gruppo di Gupta ha scoperto che l'83 percento dei siti di phishing che hanno utilizzato il flusso in questo modo è durato più di un giorno prima di essere bloccato, rispetto a un tasso di sopravvivenza del 65 percento per i siti che non hanno utilizzato il flusso.
Il gruppo identifica anche metodi per rilevare il flusso e suggerisce che il rilevamento del flusso dovrebbe essere integrato nel sistema dei nomi di dominio stesso. Poiché l'utilizzo della tecnica probabilmente significa che un sito è fraudolento, il sistema stesso potrebbe aiutare a proteggere gli utenti ignari dalla visita di questi siti.
Ridurre il tempo di rilevamento anche di poche ore può fare una differenza significativa, afferma Alper Caglayan, presidente di Milcord , una società con sede a Waltham, MA, che raccoglie dati in tempo reale sulle botnet. Se possono operare anche solo un giorno, hanno già guadagnato troppi soldi, aggiunge.
Caglayan osserva che esistono alcuni modi legittimi per utilizzare il flusso, ad esempio per fornire contenuti multimediali in modo efficiente, ma afferma che il modo in cui una botnet utilizza il flusso dovrebbe essere diverso. Ad esempio, le macchine di una botnet sono sparse in tutto il mondo secondo uno schema che non avrebbe senso per un'attività legittima.
Alcuni esperti ritengono che sia necessario un approccio su più fronti per fermare i siti di phishing. L'azienda di Caglayan fornisce un servizio che aiuta i provider di servizi Internet e altri grandi amministratori di rete a trovare e spegnere le macchine infette all'interno delle loro reti.
Alcuni browser Web utilizzano anche liste nere per avvisare gli utenti di evitare siti fraudolenti. Ma trucchi come il flusso rendono quasi impossibile per quelle liste nere rimanere abbastanza aggiornate da essere utili. Caglayan prevede che, in futuro, i browser dovranno integrare sistemi in grado di rilevare autonomamente le frodi.
Rilevare il flusso aiuterà solo le persone che utilizzano servizi di blocco di qualche tipo, afferma Srivastava mani , direttore tecnico di cyveillance , una società di sicurezza con sede ad Arlington, in Virginia. Per affrontare efficacemente un attacco che coinvolge un flusso veloce, è necessario rimuovere il dominio da Internet e ciò richiede di lavorare con il registrar o il registro di quel dominio, afferma. Questo può essere difficile perché alcuni domini si trovano in paesi con regolamenti allentati per le frodi su Internet. Ostacoli più semplici, come una barriera linguistica, possono anche lasciare in funzione un sito fraudolento per un periodo di tempo più lungo.
Gupta afferma che, come per la maggior parte dei crimini su Internet, il flusso è solo uno dei componenti in un gioco più ampio del gatto col topo. Non puoi vincere questa partita, dice. Devi solo rilevare continuamente i loro mezzi e adattarti ad essi.