新工具自动钓鱼攻击绕过2FA
今年年初发布的新渗透测试工具,可以实现前所未见的钓鱼攻击自动化,甚至可以通过登录操作保护双因素认证(2FA)保护的账户。
这个新工具是波兰研究员皮奥特杜辛斯基发明的。
Modlishka被IT专业人士称为反向代理,但它已经被修改为处理登陆页面和钓鱼操作的流量。
它位于用户和目标网站之间,如Gmail、雅虎或质子化。网络钓鱼受害者连接到Modelishka服务器(托管的网络钓鱼域),他们背后的反向代理组件将从他们想要模拟的站点请求。
受害者从法律网站——(如谷歌——)接收真实内容,但所有流量以及受害者与法律网站之间的所有互动都要经过并记录在Modellika服务器上。
Modelishka后端面板
用户可以输入的任何密码都会自动登录到Modelishka的后面板。当用户配置账户请求用户时,反向代理会提示用户输入2FA令牌。
如果攻击者能够实时收集这些2FA令牌,他们就可以使用它们登录“受害者”帐户并建立新的合法会话。
以下视频展示了如何在不使用模板的情况下,从真实的谷歌登录界面无缝加载Modellika支持的钓鱼网站,并记录用户可能看到的凭据和任何2FA代码。
由于这种简单的设计,modellika没有使用任何“模板”来描述合法网站的克隆。因为所有内容都是从合法网站实时获取的,攻击者不需要花费大量时间更新和微调模板。
相反,所有攻击者都需要网络钓鱼域名(modellika服务器上的主机)和有效的TLS证书,以避免警告用户缺少HTTPS连接。
最后一步是配置一个简单的配置文件,在钓鱼操作完成之前将受害者卸载到真正合法的站点,然后将他放入“粗糙”的钓鱼域。
在给zdnet的一封电子邮件中,duszyski将Modlishka描述为一个点击式、易于自动化的系统,它不同于渗透测试仪以前使用的其他打捞工具,只需要最低限度的维护。
告诉我们,当我开始这个项目时(这是2018年初),我的主要目标是编写一个易于使用的工具,这将消除为我执行的每个网络钓鱼活动准备静态网页模板的需要。
他添加了一种创建通用且易于自动化的反向代理的方法,这似乎是MITM角色最自然的方向。虽然这条路上有一些技术上的挑战,但整体的结果似乎很有价值。
“我写的这个工具有点像改变游戏规则的工具,因为它可以作为‘点击’代理,在完全支持2FA的情况下,可以轻松实现钓鱼活动的自动化(这是基于U2F协议token 3354的一个例外,这是目前唯一具有灵活性的第二个因素)。”
Duszyski告诉ZDNet:“有些情况需要手动调优(因为JavaScript代码比较混乱,或者是HTMLTag的完整性等安全属性),但这些特性都是工具完全支持的,在未来的版本中会有所改进。'
根据大赦国际去年12月发布的一份报告,获得资助的先进演员已经开始使用可以绕过2FA的系统。
现在,很多人担心Modelishka会降低进入门槛,让所谓的“脚本Kideldie”在几分钟内就能建立一个钓鱼网站,即使它需要的技术技能更少。此外,该工具将使网络组能够轻松自动地创建网络钓鱼页面,这些页面更容易维护,受害者也更难找到。
当我们问他为什么在GitHub上发布如此危险的工具时,Duszyski给出了一个非常有趣的答案。
他说:“我们必须面对这样一个事实,如果没有有效的概念证据,我们可以真正证明它,风险将被视为理论上的,而没有采取任何真正的措施来妥善解决这个问题。”
这种情况,以及缺乏风险意识,对于恶意行为者来说是一个完美的情况,他们会很乐意利用这一点。
Duszyski说,虽然他的工具可以基于短消息和一次性代码自动执行钓鱼网站的2FA检查过程,但对于依赖硬件安全密钥的基于u2f的方案,Modlishka效率不高。
Modlishka目前可以在GitHub上获得开源许可。
免责声明:本文由用户上传,与本网站立场无关。财经信息仅供读者参考,并不构成投资建议。投资者据此操作,风险自担。 如有侵权请联系删除!
-
开沃D11是一款由开沃汽车(Skywell)推出的新能源物流车,主要面向城市物流配送场景。对于想要购买这款车型的...浏览全文>>
-
关于2024款小象X5的落地价格,虽然我无法提供具体的价格信息(因为市场价格会因地区、配置和经销商的不同而有...浏览全文>>
-
根据您提供的信息,捷途X70 C-DM的最低落地价为14 49万元起。这个价格可能会因地区、配置以及经销商的优惠政...浏览全文>>
-
路特斯EVIJA作为一款高性能电动超跑,无论是外观设计还是驾驶体验都极具吸引力。对于想要预约试驾的用户来说,...浏览全文>>
-
试驾东风小康K01的流程通常包括以下几个步骤,具体流程可能会因经销商或地区的不同而有所差异。以下是一个通用...浏览全文>>
-
如果您对兰博基尼Urus感兴趣,并希望尽快预约试驾,可以按照以下步骤快速操作:1 访问官方网站 - 登录兰...浏览全文>>
-
腾势N7作为一款备受瞩目的新能源汽车,其独特的设计和性能吸引了众多消费者的关注。为了帮助大家更好地了解这...浏览全文>>
-
东南SEM DELICA试驾预约:线上+线下操作指南一、线上预约流程以下是通过线上渠道进行东南SEM DELICA试驾预约...浏览全文>>
-
听起来很吸引人!如果您想预约北京BJ60新能源的试驾,可以按照以下步骤进行:1 联系经销商:查找您所在地区...浏览全文>>
-
电动屋YOUNG光小新是一款备受关注的纯电动车型,以其亲民的价格、实用的设计和环保理念吸引了众多消费者的注意...浏览全文>>
- 开沃D11多少钱?购车策略与性价比大揭秘
- 广东东莞长安启源E07新款价格2024款多少钱?购车攻略助你轻松入手
- 新帝豪多少钱?不同配置性价比分析
- 宝马iX多少钱 2025款落地价,各车型售价大公开,性价比爆棚
- 风行S50EV最新价格2024款与配置的完美平衡
- 江淮悍途EV试驾需要注意什么
- 创维D11新款价格2024款多少钱?购车策略与性价比大揭秘
- 北京汽车北京U5 PLUS试驾,4S店的贴心服务与流程
- 东风小康K01L预约试驾流程讲解
- 试驾腾势Z9,超简单流程,轻松开启试驾之旅
- 东风小康C51试驾预约,从预约到试驾的完美旅程
- VGV U70 PLUS试驾预约,新手试驾注意事项
- 优优EV最新价格2023款,买车前的全方位指南
- 凯翼昆仑新款价格2025款多少钱?各款车型价格区间大揭秘
- 宝马i5落地价,最低售价35.29万起,现车充足
- 试驾北京汽车北京U7,从咨询到试驾的完整体验
- 昂科拉新车报价2023款大起底,买车超详细
- 坦克500新能源试驾预约,新手试驾注意事项
- 郑州ID.4 CROZZ落地价,买车省钱秘籍
- 岚图梦想家多少钱?看完这篇购车攻略再做决定