שירות פישינג מתוחכם 'סטארקילר' משתמש בדפי כניסה אמיתיים ומעקף אימות דו-שלבי

מרבית אתרי הפישינג הם העתקים סטטיים של דפי כניסה לאתרים פופולריים, הנחשפים במהירות על ידי חוקרי אבטחה ופעילי סייבר. אולם שירות פישינג חדש בשם 'סטארקילר' מציע דרך מתוחכמת לעקוף את שני המכשולים הללו: הוא משתמש בקישורים מוסווים כדי לטעון אתר אמיתי של המותג המותקף, ומשמש כמתווך בין הקורבן לבין האתר הלגיטימי. כך, כל הקשה במקלדת, סיסמה, קוד אימות דו-שלבי (MFA) ותגובות האתר מועברים דרך תשתית התוקפים.

איך סטארקילר עובד?

על פי ניתוח של חברת האבטחה Abnormal AI, השירות מאפשר ללקוחותיו לבחור מותג מוכר (כגון Apple, Facebook, Google או Microsoft) וליצור קישור מזויף הדומה לכתובת האמיתית. לדוגמה, קישור לפישינג נגד לקוחות Microsoft נראה כך: login.microsoft.com@[קישור מזיק]. הטריק הוותיק של השימוש ב-'@' בקישור גורם לדפדפן להתייחס לחלק השמאלי כאל שם משתמש, בעוד שהאתר האמיתי נטען מהחלק הימני — כולו דרך שרתי התוקפים.

סטארקילר מציע גם אפשרות לשילוב קישורים מקוצרים ממגוון שירותי קיצור כתובות. לאחר בחירת היעד, השירות מפעיל מכולה (Docker) עם דפדפן Chrome ללא ממשק גרפי, אשר טוען את דף הכניסה האמיתי. המכולה פועלת כמתווך הפוך (reverse proxy), מעבירה את הקלט של המשתמש לאתר הלגיטימי ומחזירה את התגובות אליו.

יכולות מתקדמות של השירות

• הקלטת הקשות בזמן אמת: כל הקשה במקלדת נרשמת ונשלחת לשרתי התוקפים.
• גניבת קבצי עוגיות וסשן: מאפשרת לתוקפים להשתלט על החשבון באופן מיידי.
• מעקב אחר מיקום הקורבנות: מאפשר לתוקפים לדעת היכן נמצאים הקורבנות בזמן אמת.
• התראות אוטומטיות ב-Telegram: התראות על כניסת נתונים חדשים, כולל סיסמאות וקודי MFA.
• ניתוחי קמפיין: מספק נתונים סטטיסטיים כגון מספר כניסות, שיעורי המרה וגרפים ביצועים — בדומה ללוח מחוונים של פלטפורמת SaaS לגיטימית.

חוקרי Abnormal AI ציינו כי סטארקילר מצליח גם ליירט ולהעביר את קודי האימות הדו-שלבי של הקורבנות. זאת משום שהקורבן מאמת את עצמו בפועל מול האתר האמיתי דרך המתווך, וכל אסימוני האימות שנשלחים מועברים לידי התוקפים.

הסיכון וההשלכות

שירות זה מהווה איום משמעותי מכיוון שהוא:

• מקשה על זיהוי הפישינג בזמן אמת, שכן הקורבן נוחת למעשה באתר הלגיטימי.
• מאפשר לתוקפים להשיג גישה מלאה לחשבונות תוך עקיפת מנגנוני האבטחה המובנים.
• מציע ממשק משתמש נוח וניתוחי ביצועים, מה שהופך אותו לנגיש גם לתוקפים חסרי ניסיון טכני.

חוקרי האבטחה ממליצים למשתמשים להיות ערניים במיוחד לאיתור קישורים חשודים, לוודא שימוש באימות דו-שלבי באמצעות אפליקציות ולא SMS, ולבדוק באופן קבוע את פעילות החשבונות שלהם לאיתור פעילות חשודה.