微软披露一次可操作30万个子域名的BulletProofLink网络钓鱼即服务

微软Microsoft 365 Defender威胁情报团队在21日,披露了一个规模庞大的网络钓鱼即服务BulletProofLink,该服务创建了超过30万子域名,供应超过100种不同品牌与服务的网络钓鱼范本,提供一次性租赁或按月订阅服务,而且还会把客户执行攻击所窃取的凭证收归己有。

根据微软的调查,BulletProofLink同时推出了网络钓鱼组件及网络钓鱼即服务(PhaaS),前者只要支付一次性的价格,便能取得网络钓鱼电子邮件及网站的范本,PhaaS则是订阅服务,除了电子邮件及网站范本之外,还提供邮件传送、网站托管、窃取凭证、凭证传送与不被侦测的连接/记录等,等于是个一站购足的服务。

图片来源_微软

此外,不管是组件或是PhaaS,BulletProofLink都实施了双重窃盗手法,在网络钓鱼组件中嵌入一个程序,把客户所窃取的凭证发送一份至BulletProofLink,而在PhaaS上也留下一份被窃凭证的副本。

BulletProofLink从2018年就开始运行,而且有许多别名,包括BulletProftLink、BulletProofLink与Anthrax,并在YouTube及Vimeo上设有官方频道,也通过黑客论坛或其它网站来营销网络钓鱼服务。

图片来源_微软

分析显示,BulletProofLink的经营者也许是通过危害网站的DNS,或是所危害的网站刚好允许Wildcard子域名,而使得他们得以无限地滥用这些子域名,只要渗透一个域名,就能提供独立的网络钓渔网址给每个受害者,这可节省黑客的成本,创造大量的网络钓鱼域名,也更容易躲过恶意域名的侦测机制。

BulletProofLink所发送的电子邮件还利用zero-point font技术,于邮件中隐藏不可见的字符,来混淆邮件主体与企图闪避侦测。

在研究了BulletProofLink的手法及技术之后,微软已把所得到的情报用来改善Microsoft Defender for Office 365,强化其防范网络钓鱼攻击的能力。

发表评论