بسیاری از استراتژی‌های دفاعی در برابر فیشینگ بر روی لایه‌ای تمرکز دارند که برای مهاجم ارزان‌ترین و سریع‌ترین بخش عملیات است: دامین‌ها (Domains). ثبت یک دامین، تخصیص DNS و فعال‌سازی گواهینامه SSL برای یک صفحه جمع‌آوری اطلاعات (Credential Harvesting) می‌تواند در کمتر از ۲۴ دقیقه انجام شود. وقتی تیم‌های امنیتی دامین‌ها را مسدود کرده و این آمار را به مدیران ارشد گزارش می‌دهند، در واقع چیزی را هدف قرار داده‌اند که جایگزینی آن برای عامل تهدید (Threat Actor) تنها یک دلار هزینه و ۲۰ دقیقه زمان دارد.
تمرکز بر لایه سرور: جایی که هزینه برای مهاجم بالاست
برخلاف دامین‌ها، سرورها هزینه مالی و زمانی بیشتری برای راه‌اندازی می‌طلبند. سرورها در طول چندین کمپین باقی می‌مانند زیرا بازسازی آن‌ها دشوار است. نکته حیاتی این است که یک سرور معمولاً میزبان بخش‌های مختلف یک عملیات است؛ بنابراین با شناسایی سرور، شما تنها به یک شاخص (Indicator) دست نمی‌یابید، بلکه کل زیرساخت مهاجم را شناسایی می‌کنید.
تکنیک‌های مدرن: پروکسی‌های AiTM و دور زدن MFA
کیت‌های فیشینگ مدرن از مدل Adversary-in-the-Middle (AiTM) استفاده می‌کنند. این ابزارها به جای نمایش یک صفحه جعلی، ترافیک قربانی را به‌صورت لحظه‌ای به سرویس واقعی (مانند Microsoft Sign-in) منتقل می‌کنند و پاسخ‌ها را برمی‌گردانند. در این فرآیند، مهاجم هم اطلاعات ورود و هم توکن نشست (Session Token) را سرقت می‌کند. در این حالت، قربانی یک صفحه واقعی را می‌بیند و حتی مراحل احراز هویت چندعاملی (MFA) را به‌درستی طی می‌کند، اما در نهایت مهاجم به یک نشست فعال دست می‌یابد.
ردیابی منشاء از طریق کوکی‌های نشت شده
مهاجمان برای پنهان کردن سرور اصلی خود از شبکه‌های توزیع محتوا (CDN) استفاده می‌کنند تا شناسایی منشاء (Origin) دشوار شود. با این حال، یک نقطه ضعف تکنیکی در بسیاری از پروکسی‌های معکوس (Reverse Proxy) وجود دارد. وقتی پروکسی در حال انتقال درخواست به سرویس واقعی است، سرویس (مثلاً مایکروسافت) کوکی‌ای را تنظیم می‌کند که حاوی آدرس IP کلاینتی است که با آن متصل شده است (در اینجا همان سرور پروکسی مهاجم).
اگر پروکسی به‌درستی پیکربندی نشده باشد، این کوکی را بدون تغییر به مرورگر قربانی بازمی‌گرداند. با تحلیل ترافیک رمزگشایی شده و بررسی کوکی‌های تنظیم شده توسط سایت فیشینگ، می‌توان آدرس IP واقعی سرور مهاجم را استخراج کرد، حتی اگر دامین‌ها به‌طور مداوم تغییر کنند.
توصیه‌های عملیاتی برای مدیران SOC و مهندسین امنیت
برای شناسایی این نوع حملات پیشرفته، رویکردهای زیر توصیه می‌شود:
- تحلیل لاگ‌های ورود: به دنبال نشست‌های موفقی بگردید که از محدوده IP ارائه‌دهندگان خدمات میزبانی (Hosting Providers) یا سرورهای مجازی (VPS) صورت گرفته است؛ چرا که کارکنان سازمان معمولاً از این شبکه‌ها برای ورود به حساب‌های سازمانی استفاده نمی‌کنند.
- مانیتورینگ رویدادهای Refresh: توجه داشته باشید که توکن‌های سرقت شده در حملات AiTM معمولاً دارای ماندگاری هستند. بنابراین، فعالیت مهاجم ممکن است به‌صورت رویدادهای Refresh توکن ظاهر شود و نه لزوماً یک ورود (Login) جدید.
- ترتیب پاسخ به حادثه: در صورت شناسایی نفوذ، ابتدا باید تمام نشست‌های فعال (Sessions) را ابطال (Revoke) کنید و سپس رمز عبور را تغییر دهید. اگر ابتدا رمز عبور تغییر کند اما توکن نشست ابطال نشود، مهاجم همچنان به حساب دسترسی خواهد داشت.
