近日央视报道了冒充政府部门发布虚假信息进行诈骗的行为,记者采访了专业网络安全工程师,对这种骗局进行了揭秘,这背后隐藏着怎样复杂而狡猾的技术手段呢?又该如何让我们的数字生活免受其害?
黑客视角:仿冒网站的生成
不法分子运用先进的技术,精准地复制合法网站的页面元素,主要有以下几个步骤:
第一步:
注册相似度极高的域名进行仿冒,常见的形式如:
1、字母混淆或相似字母替换:例如将字母“o”和数字“0”进行替换,“amazon.com” 可能被仿冒为 “amaz0n.com”;“b”和“6”进行替换,“facebook.com” 可能变为 “face6ook.com”;另外像“i”和“l”及数字“1”,也常被不法分子利用,因为这些字在某些字体下非常相似。
2、添加或删除前后缀或字符:在原域名的基础上添加一些看似官方的前缀或后缀,如 “official-xxx.com”“xxx-verified.com” 等,或在原域名上增加或删除字符,如”gooogle.com”” paypa.com”。
3、利用新顶级域名:注册与正规网站相似的域名,但使用不同的顶级域名后缀。比如正规网站是 “example.com”,仿冒网站可能是 “example.cn”“example.top” 等。
第二步:
用工具扫描爬取真网站的内容, 比如将https://www.dbappsecurity.com.cn的网站内容复制下来;
第三步:
将克隆的内容复制发布到克隆网站上,如https://www.dbappsecur1ty.com.cn/;
第四步:
在克隆网站上进行有目的的信息修改,以便于进行诱骗用户输入个人信息或进行支付操作;
第五步:
SSL证书伪造,SSL 证书用于在互联网上验证https网站的身份并加密数据传输,通过非法手段获取或伪造 SSL 证书,使得仿冒网站在浏览器地址栏中也能显示出安全锁标志。
历史明鉴:钓鱼网站的危害
在网络安全的专业范畴里,前文介绍的仿冒网站实际上是钓鱼网站的一种常见形式,尤其常见于金融、电商、社交类,20 世纪 90 年代随着互联网的发展“钓鱼网站”逐渐被明确提出,当时,随着电子商务和网上金融服务的兴起,不法分子开始利用虚假网站骗取用户信息(如用户名、密码、银行卡号、身份证号码等)或者进行资金转账等操作,从而获取非法利益。
2022年甘肃武都郭女士,犯罪份子引导她访问icbcesj.com网站,该网站界面与工行官方网站界面一样,郭女士信以为真,按照页面提示进行操作,先后输入个人银行账户信息和密码,造成信息泄露,后其账户余额49万元被划走。
另一起,犯罪份子在网上搭建仿冒区块链数字货币交易平台的钓鱼网站,并植入木马病毒,然后在网络进行传播,只要受害人点击链接,并在钓鱼网站上输入账号、密码等信息,嫌疑人就能获取到受害人的信息从而实施盗窃,家住徐州市铜山区的梁某购买了1600余个网络虚拟货币,“时值”100余万元。2021年11月6日,梁某登录其账户,发现存放在网站上的虚拟货币竟不翼而飞。
据相关统计,2024年第一季度,网络钓鱼诈骗共造成1.73亿美元损失。据Scam Sniffer 监测,单9月份就有超过1万个地址因网络钓鱼诈骗损失总计约 4600 万美元;2024 年第三季度,网络钓鱼损失总额为 1.27 亿美元,平均每月有 1.1 万名受害者。
这些钓鱼网站不仅具有欺骗性,还可能携带病毒、木马等恶意软件,一旦感染,用户的终端就会面临被远程控制、数据泄露等风险,所以钓鱼网站也是网络威胁从外进入到内部的最常用入口之一。
如何防范仿冒网站的“庞氏骗局”
从前面的介绍可知,要做到防范钓鱼网站,核心是两个点:识别网站域名真伪和防范恶意软件入侵。
在识别网站域名上,一些优良的人为习惯和意识十分的重要:
1、注意网址拼写:访问网站时,尤其是涉及金融、个人信息等重要网站时,一定要仔细检查网址是否正确,最好将官方网址添加到浏览器书签中,每次访问直接从书签中打开,避免通过搜索引擎或其他链接访问可能出现的钓鱼网站。
2、检查域名信息:可以通过一些域名查询工具来查看网站的注册信息,包括注册时间、注册人、注册机构等。如果一个声称是知名品牌的网站域名是刚刚注册的,或者注册信息模糊不清,就需要提高警惕。
3、检查页面布局和链接:正规网站的页面布局通常比较规范,链接也都是有效的。如果发现网站的页面布局杂乱无章,或者某些链接点击后出现异常情况(如跳转到其他奇怪的网站),很可能是钓鱼网站。
4、注意安全标识:没有SSL证书的网站一定是要特别注意的,浏览器一般都会有访问安全提示,虽然有些钓鱼网站会伪造 SSL 证书,但仔细观察还是可以发现破绽。真正的 SSL 证书在点击安全锁标志后,可以查看证书的详细信息,包括证书颁发机构、有效期等。如果证书信息模糊或可疑,那么也很可能是钓鱼网站。
防范恶意软件入侵方面,专业性更高,确实对人的要求也更高,但也有一些安全意识方面可以做到:
1、启用多重身份认证:尽可能为重要的账户启用多重身份验证,如短信验证码、指纹识别、面部识别等。这样即使钓鱼网站获取了用户的账号和密码,也无法轻易登录到用户的账户。
2、对弹出窗口保持谨慎:很多钓鱼网站会通过弹出窗口来诱骗用户点击。这些弹出窗口可能会伪装成系统更新提示、中奖通知等。在看到弹出窗口时,不要急于点击 “确定” 或 “下载” 按钮。先仔细查看窗口的内容和来源,如果是来自不熟悉的网站或者看起来可疑的软件,应直接关闭窗口。
3、不访问黄赌毒相关网站:这类网站通常都藏有钓鱼链接或木马软件,保持健康绿色上网习惯,遇到此类网站直接关闭。
4、启用浏览器安全功能:现代浏览器通常都具有一些安全功能,如弹出窗口拦截、恶意网站警告、跨站访问等。确保这些功能已启用,可以有效减少受到钓鱼网站攻击的风险。
对于来源不明的链接保持高度警惕,尤其不轻易点击或下载内容,就算下载了内容也一定要确保可信或安全后再打开。
防患于未然,从办公智盾开始!
从技术上进行潜在威胁的进行识别和阻断,它不仅要能识别到钓鱼网站,还要能从行为、数据角度进行更全面的检测和防御,安恒办公智盾,作为一款专业的终端安全防护软件,内置海量的恶意网站库和弹窗防护规则库为基础,动态识别钓鱼网站,并对可能从钓鱼网站引入的木马、病毒等恶意软件进行实时阻断,为用户提供一个健康绿色上网环境。
安恒办公智盾可根据实际情况配置安全防护策略,对淫秽色情、网络赌博等有害网站进行拦截,同时可配置自定义拦截网站,对指定网站进行拦截。
安全上网防护策略
恶意网站拦截
指定网站拦截
弹窗拦截
安全上网:
办公智盾内置了高达200万条的恶意网站库,能够有效拦截钓鱼网站、恶意分发网站、挂马网站、仿冒欺骗网站、色情网站等,当用户尝试访问或无意间访问这些网站时,办公智盾会立即发出警告并阻止访问,从而有效防止用户遭受恶意攻击。除了内置恶意网站库,用户可增加自定义有害网站,系统对于自定义有害网站,也会进行精准拦截。
弹窗防护:
恶意弹窗是指那些具有欺骗性、诱导性、难以关闭或对用户造成困扰的弹窗广告。这些弹窗广告不仅影响用户体验,还可能窃取用户信息、传播恶意软件或进行网络诈骗。办公智盾内置500条弹窗防护规则,覆盖网络欺诈类弹窗、恶意软件传播类弹窗、诱导下载类弹窗、霸屏广告类弹窗、伪装成工具软件的弹窗、虚假宣传类弹窗等 6大类型、100+ 款软件,能够精准识别并拦截各类弹窗广告,为用户打造一个安静的工作环境。
智能防护与实时更新:
办公智盾采用智能防护技术,能够根据用户的上网行为和习惯,自动调整防护策略。同时,其恶意网站库、弹窗防护规则库都会实时更新,确保用户始终受到最新、最有效的防护。
推荐站内搜索:最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论,来说两句吧...