‘Cloaking’ verontrustende nieuwe trend in phishing
Cybercriminelen verhullen hun phishingsite om winst te maximaliseren
Cybercriminelen worden steeds inventiever als het om phishing gaat. In de afgelopen jaren is de detectie van phishingsites sterk verbeterd. Om deze detectie te ontwijken, maken criminelen steeds vaker gebruik van een combinatie van trucs. Zo zijn hun sites bijvoorbeeld alleen zichtbaar vanaf bepaalde locaties of alleen toegankelijk vanaf mobiele telefoons, zodat ze voor hosters en handhavers niet direct zichtbaar zijn. Dit fenomeen staat bekend als ‘cloaking’ (letterlijk: verhulling) en is een uitdaging in de wereldwijde strijd tegen phishing.
Wat is cloaking?
Onder cloaking valt iedere techniek die bedoeld is om kwaadaardige content te verbergen voor anderen dan de beoogde doelwitten/slachtoffers. Het doel van cloaking is de tijd dat een phishingsite online is te maximaliseren. Vaak gaat het daarbij om niet meer dan enkele uren extra, want op dit moment worden de meeste phishingsites binnen een etmaal offline gehaald. Ieder uur extra betekent dat de crimineel meer slachtoffers kan maken en meer verdient.
Vormen van cloaking
Er zijn diverse vormen van cloaking. De 4 belangrijkste zijn:
1. User-Agent cloaking
De tools die online phishing opsporen zijn vaak herkenbaar. De cybercrimineel kan de phishingsite zo aanpassen dat deze niet de kwaadaardige content toont als deze tools de url scannen.
2. Geolocated cloaking
De phishingcontent alleen tonen aan gebruikers met een IP-adres op een bepaalde geolocatie. Hiermee worden phishingaanvallen verborgen voor opsporingstools in de rest van de wereld.
3. Tijdsgebonden cloaking
Een phishingsite alleen tonen op bepaalde tijdstippen. Een voorbeeld is op zondagavond een mail aan een bedrijf sturen met een link naar legitieme content. Deze passeert de firewall van de ontvanger, als de cybercrimineel de content maandagochtend, voordat de geadresseerde medewerker op kantoor komt vervangt door de phishingsite.
4. Mobile only cloaking
Veel cybercriminelen richten zich op gebruikers van mobiele apparaten en tonen gebruikers van pc’s legitieme content. Doordat medewerkers van hosters die abusemeldingen ontvangen de melding vaak op een pc bekijken, zien ze de malafide site niet.
Wat is ertegen te doen?
Voor bedrijven en opsporingsinstanties betekent cloaking dat ze hun methoden en technieken moeten verbeteren. De tools die er zijn moeten meer controleacties gaan uitvoeren. Zo vereist het opsporen van mobile-only cloaking dat van elke website zowel de mobiele als de desktopvariant bekeken worden. Geolocated cloaking vereist controle vanuit diverse ip-adressen, bijvoorbeeld via een VPN.
Dat is niet onmogelijk, maar is in de praktijk wel een sterke verhoging van de hoeveelheid uit te voeren controles. Het is daarom bij de aanschaf van spamfilters, firewalls en domeinnaammonitoringtools belangrijk te verifiëren in hoeverre deze in staat zijn de verschillende vormen van cloaking te omzeilen en de resultaten zo efficiënt mogelijk te verwerken.
