在最近觀察到的旨在接管Coinbase帳戶的網(wǎng)絡(luò)釣魚活動中，威脅行為者正在繞過雙因素身份驗證（2FA）并使用其他巧妙的規(guī)避策略，以騙取用戶的加密貨幣余額。

PIXM Software的研究人員發(fā)現(xiàn)，攻擊者正在使用當下流行的加密貨幣交易所的電子郵件來誘騙用戶登錄他們的賬戶，以便他們獲取受害者的登錄憑據(jù)，從而訪問賬戶并竊取受害者的資金。

PIXM威脅研究團隊在周四發(fā)布的一篇博文中解釋說：“他們通常會通過成百上千筆交易，通過‘Burner’賬戶網(wǎng)絡(luò)自動分配這些資金，以混淆原始錢包和目標錢包?！?/p>

Coinbase是一個公開交易的加密貨幣交易平臺，自2012年以來一直存在。它可以說是最主流的加密貨幣交易所之一，擁有超過8900萬用戶，因此對網(wǎng)絡(luò)犯罪分子來說是一個非常有吸引力的目標。

巧妙的逃避戰(zhàn)術(shù)

研究人員寫道，攻擊者采用了一系列策略來避免被發(fā)現(xiàn)，包括一個被研究人員稱為“臨時域”（short lived domains）的策略，即攻擊中使用的域“在極短的時間內(nèi)保持活躍”，這與典型的網(wǎng)絡(luò)釣魚行為有所不同。

“我們猜測，大部分頁面在互聯(lián)網(wǎng)上的可用時間不到兩個小時，”因此在某些情況下，即便PIXM研究人員收到攻擊警報，他們也無法執(zhí)行所需的取證行為。

研究人員指出，在環(huán)境感知和雙因素中繼等其他技術(shù)中，這會允許攻擊者“阻止窺探者深入他們的網(wǎng)絡(luò)釣魚基礎(chǔ)設(shè)施”。

根據(jù)PIXM的說法，環(huán)境感知是一種尤其隱秘的策略，因為與臨時域一樣，安全研究人員很難通過混淆網(wǎng)絡(luò)釣魚頁面進行事后跟進。

這種策略允許攻擊者知道IP、CIDR范圍或區(qū)域，從而可以預測他們的一個或多個目標將要連接的地方。研究人員說，然后他們可以在網(wǎng)絡(luò)釣魚頁面上創(chuàng)建類似訪問控制列表（ACL）的內(nèi)容，以限制僅允許來自其預期目標的IP、范圍或區(qū)域的連接。

研究人員寫道：“即使在網(wǎng)站上線的幾個小時內(nèi)檢測到或報告了其中一個頁面，研究人員也需要謊報頁面上的限制才能訪問該網(wǎng)站?！?/p>

用于帳戶接管的網(wǎng)絡(luò)釣魚

攻擊開始時，參與者以Coinbase用戶為目標，通過惡意電子郵件謊稱要進行貨幣兌換，使?jié)撛谑芎φ哒J為這是合法消息。

研究人員表示，這封電子郵件使用多種理由敦促用戶登錄他們的賬戶，聲稱該賬戶因可疑活動而被鎖定，或者存在交易需要確認。

與網(wǎng)絡(luò)釣魚活動一樣，如果用戶遵循消息指令，他們會到達一個虛假的登錄頁面并被提示輸入他們的憑據(jù)。如果發(fā)生這種情況，攻擊者會實時接收憑據(jù)，并使用它們登錄合法的Coinbase網(wǎng)站。

研究人員說，這發(fā)生在威脅參與者在攻擊結(jié)構(gòu)中使用雙因素中繼來繞過Coinbase平臺中內(nèi)置的MFA的時候。

攻擊者的行為促使Coinbase向受害者發(fā)送2FA代碼，受害者認為該通知是通過在虛假登錄頁面中輸入憑據(jù)來提示的。一旦用戶將2FA代碼輸入到虛假網(wǎng)站，攻擊者立即接收并登錄合法賬戶，從而獲得賬戶控制權(quán)。

將資金轉(zhuǎn)移給威脅行為者

一旦威脅者可以訪問該帳戶，他或她就會通過大量交易將用戶的資金轉(zhuǎn)移到上述帳戶網(wǎng)絡(luò)，以逃避檢測或避免引起懷疑。

“這些資金也經(jīng)常通過不受監(jiān)管的非法在線加密服務(wù)被挪用，如加密貨幣賭場、投注應(yīng)用程序和非法在線市場，”研究人員補充說。

此時不知情的受害者會看到一條消息，通知他們，他們的帳戶已被鎖定或限制——這與引發(fā)整個惡意交易的初始網(wǎng)絡(luò)釣魚電子郵件不同。系統(tǒng)會提示他們與客服聊天以解決問題，并且頁面右上角會出現(xiàn)一個聊天框供他們執(zhí)行此操作。

該提示實際上是攻擊的第二階段，其中威脅行為者冒充Coinbase員工幫助該用戶恢復他或她的帳戶，要求提供各種個人和帳戶信息。然而，研究人員說，實際上，攻擊者正在爭取時間，以便他們能夠在受害者懷疑之前完成資金轉(zhuǎn)移。

“他們正在使用這個聊天會話來讓受害人在轉(zhuǎn)移資金時被占用和分心（受害者在被轉(zhuǎn)移資金時可能會收到Coinbase的潛在電子郵件或短信），”他們寫道。

他們說，一旦資金轉(zhuǎn)移完成，攻擊者將突然關(guān)閉聊天會話并關(guān)閉網(wǎng)絡(luò)釣魚頁面，這讓Coinbase用戶感到困惑并很快意識到自己被欺騙了。

本文翻譯自：https://threatpost.com/phishers-2fa-coinbase/180356/如若轉(zhuǎn)載，請注明原文地址。