この記事は、Cisco Umbrella のシニア セキュリティ アナリストである Artsiom Holub によるブログ「Changing the Standard of Phishing: Attack Trends,Tips and Tricks.」
（2017/8/10）の抄訳です。
フィッシングはよく知られた、サイバー犯罪者に使用される最も一般的かつ、最も成功した攻撃です。この攻撃は情報システムの最も脆弱なコンポーネント、つまりユーザを対象としており、設計はシンプルです。ICO（イニシャル コイン オファリング：仮想通貨による資金調達）を実施するスタートアップ企業は、多くのフィッシング攻撃を経験しています。このような攻撃の結果、投資資金が失われたというケースが複数、報告されています。
最近まで、これらの攻撃の大半はユーザの受信トレイに留め置かれることになるスパムメッセージによって配信されていました。フィッシングの疑いが非常に明白なため、ほとんどのメッセージは無視されます。その他の場合、メッセージは「このページにパスワードを入力しても安全ですか？」という質問と共に IT サポートに転送されます。もちろん、これらのユーザの一部はフィッシング被害に遭いますが、その数はスパム メールの総量に比べれば非常に少ないです。
Coindash のウェブ サイトがハッキングされた最近の事件では、ハッカーが所属していると特定されるアドレスに資金を送ろうとする詐欺行為が行われました。Slack プラットフォームを通じた仮想通貨ユーザに対する新たな攻撃もあります。最近のスピア フィッシング攻撃では、メッセージ本文にリンクや脆弱性が含まれていないことがわかりました。代わりにタイトル、件名しかなく、このタイトルをグーグルで検索するとサイトにつながります。これらは、新しいフィッシング攻撃がいかに早く現れるのかを示しています。
Cisco Umbrella では、NLP Rank により新たな攻撃やトレンドを監視して来ました。このブログ記事では、検出された最新の脅威の一部を共有します。
1 つの傾向は、国際化ドメイン名で使われる文字符号化方式 punycode によるドメインの偽装です。これはかつてよく見られた手法です。OCR ベースの追加フィルタを使用したドメイン名とその内容に関する NLP ベースの解析の結果、提案されたブロックが次のように表示されたら疑わしいドメイン名である、と認識することができました。
これらの悪用されたドメインのほとんどは、無料でドメインを提供する TLD に由来します。重視される点は価格ではなく、重要な支払い情報の形跡を残さずにドメイン名を取得できる点です。ドメインの取得に必要なのは、使い捨て e メール アドレスだけです。同様に、匿名化されたホスティングサービス（bulletproof hosting）や不正使用の大手プロバイダも利用されています。
以下の例では、Ethereum wallet ウォレットプロバイダの 1 つになりすましドメインを登録しようとすると、ドメイン名 myetherwallet [cf] がすでに使用されていることがわかります。
ドメイン登録のために複数の e メールを設定するのは困難なため、ドメインの登録に難読化（Obfuscated） e メールが使用されることがよくあります。別のトリックは、複数のドメインを登録するための 1 つの e メールを持ち、そのような e メール アドレスを異なる whois データ匿名サービスで置き換える、もしくは「ガード」することです。このような場合、whois プロバイダは「プライバシーに関する声明の制限」により、ドメイン名のユーザ個人情報は公開できません。Protonmail など、ユーザ匿名で登録できるサービスでは、この手法が濫用されています。
アドワーズ広告のフィッシングは新しい脅威ではありませんが、フィッシング暗号化ユーザーや他の金融機関の場合に最も多く使用されています。Google と Bing は広告プラットフォームの悪意のある使用を認識していますが、最近のキャンペーンではこれらの攻撃が頻繁に検出を上回ることが証明されています。私たちは、過去 6 ～ 9 ヶ月の間、以下のキャンペーンを観察しました。キャンペーン期間を通じてローテーションする対象企業がありますが、残りのスキームは同じままです。このタイプのキャンペーンは、こちらの出版物で詳しく説明されています。このキャンペーンの最新の反復は MyEtherWallet のユーザを対象としています。
フィッシング詐欺メールは改良されており、より多くのターゲットを絞ったソーシャル エンジニアリング戦術を使用しています。一見しただけでは認識されないフィッシング メール内のリンクを分析しました。しかしながらこのメールは感染した Web サイトにつながり「拒否されたリダイレクト」脆弱性が生じます。この脆弱性を利用することで、一般的に使用されているスパム対策フィルタのすべてではないにしても、多くを撃退することができます。e メールでは、リンクは次のように表示されます。
hxxps：//company.com/unvalidated_redirect.php？url = http：//login.company.cf/
ユーザは、元の信頼済みサイト（company.com）へのリンクを見て、起こりうるリダイレクトを認識しません。
最近のマス スパム キャンペーンでは、e メール本文の短縮 URL リンクを使用して、なりすましドメインへのトラフィックを増加させています。このテクニックは標準的な防御のかなりの数を撃退し、一般的なユーザに問題を引き起こします。多くの人々は、短縮されたリンクの安全性の保証には、URL 短縮者に責任があると考えています。多くの URL 短縮機能は、システム内の悪質なリンクを減らすために働いていますが、そのような濫用を完全に排除することは非常に難しい問題です。これらのスキームは、通常、アカウントの資格情報を収集するだけでなく、マルウェアの配信にも利用されます。
悪質なドメインをどのようにダウンさせるか。業界の多くのセキュリティ研究者の目標ですが、統合されたソリューションはまだ存在しません。これらの攻撃の背後にある悪質なインフラストラクチャが複雑になっているため、研究者はレジストラ、クラウド サービス プロバイダ、e メール サービス プロバイダと密接に協力して、そのような攻撃の背後にある悪意あるアクターを見つける必要があります。ただし、この方法で指標となるのは IP アドレスのみです。想定された IP アドレスだけで犯罪者を「特定する」ことは可能なのか？私は不可能と答えます。
シンプルなタイプ入力ドメインの背後にある問題の規模を特定する調査により、この脅威にさらされるユーザがいかに多いのかがわかります。フィッシング攻撃の量は増えており、犯罪者の方法は常に進化しています。 Cisco Umbrella は、 NLPRank などのソリューションを使用して、このようなドメインを検出してブロックすることができます。さらに、可能であればユーザと企業自身が二要素認証を有効にし、階層化されたセキュリティ制御を実装することが、強く推奨されます。
IOC
このブログは、Cisco Umbrella リサーチ チームの Artsiom Holub とシスコの国別電子化チームの Jeremiah O’Connor の協力の結果です。
