Técnicas de phishing sofrem mutação a cada momento, seja por conta de um
novo exploit ou pelo fato de determinada técnica não funcionar, mas uma
coisa é certa o phishing sempre está em evolução.Em 2016 foi o ano que
fiz minha pesquisa sobre a utilização de motores de busca no cenário de
phishing onde com base em artigos, testes e um pouco de malicia consegui
realizar tal conceito.Minha pesquisa consiste em mostrar
algumas tricks que atacantes usam para gerar trafego legitimo em suas
paginas maliciosas e ludibriar seu target ao download.
O método:
Tal forma simples ainda garante muitos acessos quando se trata de forjar palavras chaves e concatenar o maior numero de técnicas Black Hat SEO em um arquivo / url, efetuado o upload do maior numero de arquivos PDF's "legítimos" com palavras chaves direcionados para um grupo de interesse.
Para entender o uso do PDF:
Em 2008, o Google anunciou em seu blog oficial que, a partir de agora, através da Optical Character Recognition (OCR), Que permite converter imagens com texto em documentos de texto usando algoritmos decomputação automatizados. As imagens podem ser processadas individualmente (arquivos .jpg, .png e .gif) ou em documentos PDF com várias páginas (.pdf).
A leitura e indexação de arquivos PDF não é novidade para ninguém, a tal ponto que criminosos também começaram a usar os benefícios de indexar documentos PDF para manipular resultados do Google.Os fraudadores usam documentos PDF fakes com palavras chaves , links e imagens para assim atingir o seu objetivo que seria destacar-se nos motores de busca. Em comparação com as páginas HTML comuns, O Google parece confiar mais e punir bem menos páginas PDF.
O procurado click:
O que seria fins maliciosos ?Seria direcionar o target para propagandas, exploração de vetores em seu navegador, ataques em seu roteador entre outras artimanhas.
O intuito muitas vezes não é só ludibriar o target para efetuar um simples download, mas sim lucrar o máximo com seu click, se o mesmo não executar o artefato assim garante uma forma de retorno financeiro.
Técnica Keyword Stuffing:
O diferencial dessa técnica é que o pescador é passivo o mesmo não executa uma ação mais intrusiva, ele espera o acesso do seu target assim garantindo mais sucesso de infecções.
Gerando arquivos em massa:
Quando se trata de ações na web um atacante não quer perder tempo. Armado de seu arsenal sempre atualizado para otimizar seus processos. Por esse fato criei uma pequena tool que vai criar e injetar um conjunto de palavras chaves em nosso PDF's, para termos noção de uma estrutura final do arquivo de isca.
Algumas palavras chaves que serão usadas no processo:
Compre_seu,Carro_novo,usado,condicoes,gerais,semi_novo,Comprar,condições_gerais,porto_seguro,automóvel,Carro,Nossos,carros,Pick,up,SUV,Gol,VW,Up,Golf,Novo,Fox,computador,bordo,rodas,liga,leve,FRANQUIA,airbag,passageiro,freios,ABS,retrovisores,elétricos,Câmbio,automatico,automatizado,manual,Ofertas,Preços,Simular,financiamento,Fotos,Ficha,técnica,Tiguan,EXTRA...
Execução da ferramenta:
A lógica da ferramenta funciona da seguinte forma.Sua base é um arquivo preenchido com diversas palavras chaves direcionadas para um determinado grupo. geramos um PDF para cada palavra chave e cada palavra chave é vinculada ao nome do próprio arquivo e a ferramenta já cria links internos referenciando outros arquivos gerados, essa técnica pode ser usada como LINK FARM.
PDF forjado:
Usando elementos básicos de SEO é forjado o PDF isca para e é esse arquivo que o motor de busca vai indexar.
Garantindo o acesso:
Para "hackear" de forma expressiva e também garante o acesso das vítimas a suas (URL’S || arquivos maliciosos), O criminoso pode refinar o arquivo .htaccess de forma que o Bot de indexação (Web crawler) tenha acesso ao seu conteúdo, mas não o usuário alvo pois o mesmo é direcionado para site de terceiros.
Arquivo .htaccess modificado:
Lógica do atacante: isso é usado para que o motor de busca acesse o PDF forjado, porem o target só vê o cache do mesmo nos resultados assim garantindo uma engenharia social gerada pelo próprio motor de busca.
Busca infectada:
É uma exploração de relação de confiança entre usuário e seu aplicativo web "favorita", pois ele não vai oferecer o conteúdo "carros usados", para alguém que de suma maioria curtir páginas(facebook) ou pesquisa keywords para cinema ou faz pesquisa de Corte e Costura ou seja o target ativa o gatilho.
O uso do Google AdWords:
A grande trick referente conjunto de palavras chaves e potencializar o acesso é o anuncio pago que tal técnica não é só usada em motores de busca, mas também em redes sociais como Facebook.
O patrocínio /anuncio pago de palavras chaves vinculadas aos seus arquivos forjados potencializa em mais de 50% as chaves de vitimas acessarem tal url infectada.
Com investimento de R$50,00 por dia filtrando alvos no estado de São Paulo o atacante pode ter alcance potencial de 1K cliques + 57k de impressões.
Achei o valor de 1k inflado pelo Google, mas suponhamos que tal valor real é de 500 cliques por R$50,00 analisando cenário comparativo com spammer comum o Black Hat SEO tem grande potencial spear pelo filtro avançado que própria ferramenta de propaganda oferece e pela assertividade de direcionar para pessoa certa.
Em minha humilde opinião redes sociais e motores de busca serão o futuro dos spammers, tanto pela assertividade filtro avançado de perfil quanto pela facilidade de atingir milhares de pessoas facilmente.
Um exemplo recente de Link patrocinado malicioso é o Fake BSOD warning, onde o usuário ao clicar no link erá direcionado para uma página que simulava a tela azul de erro Windows (famosa tela da morte).
O Fake warning exibia uma mensagem orientando suas vitimas a discar o numero do "suporte" técnico, para obter a devida "ajuda".
Tal anúncio patrocinado aparecia e destaque quando a palavra chave "youtube" erá buscada no Google. Contatado pela Malwarebytes, o Google AdWords removeu imediatamente os anúncios fraudulentos.
A tela fake usada no modelo BSOD de ataque é uma variação das telas “Scan Virus Alert” que consiste simular um escaneamento ou um simples alerta de vírus, posteriormente oferecer uma “Ferramenta” ou telefone para auxiliar na remoção de tal vírus, apesar de não muito usada no brasil essa técnica é bem antiga. Sua nova variação e mais avançada é voltada para publico mobile, algumas versões web pedem dados do cartão de credito e utilizam functions que podem fazer seu celular até mesmo vibrar.
O fluxo final seria dessa forma:
O usuário toma ação de efetuar uma pesquisa, em seu resultado de busca aparece tais urls infectadas seja no orgânico ou patrocinado, depois do clique o target pode entrar em vários cenários seja de baixar um PDF infectado ou PE até mesmo ter vários vetores explorados em seu navegador ou roteador. Bom esse é um cenário simplista, mas é possivel ter noção do potencial dessa tipo de técnica.
Posso afirmar que hoje meios pagos de publicidade como Google AdWords, se tornaram um dos maiores vetores que proporcionam ataques. Fraudes envolvendo em publicidade paga é outro level quando falamos de spear phishing tanto quando se trata de facilidade e retorno lucrativo.
Qualquer pessoa pode criar uma conta no Google AdWords ou Facebook sem nem um tipo de verificação se X é dono da marca Y. muitas vezes o atacante usa técnicas de typosquatting para ludibriar seu target.
Não só o target user é afetado por tal técnica, mas também a empresa que teve sua marca vinculada ao ataque.
Ferramenta usada no post: forjaPDF (para estudos)
A ferramenta usada no artigo utiliza as class do projeto Dompdf
Material retirado do site 0x27null
