新的網路釣魚工具包「Xiū gǒu」利用 2,000 多個虛假網站瞄準五個國家的用戶
網路安全研究人員發現了一種名為Xiū gǒu 的新網路釣魚威脅，自2024 年9 月以來，該威脅一直針對澳洲、日本、西班牙、英國和美國這五個國家的用戶。釣魚工具包已產生了2,000 多個虛假網站，為公共部門、郵政服務、數位服務和銀行等行業帶來嚴重風險。網路釣魚攻擊代表了一種日益增長的趨勢，它降低了網路犯罪分子發動攻擊的門檻，使技術水平較低的駭客比以往任何時候都更容易滲透受害者的個人資訊。
Table of Contents
Xiū gǒu 的工作原理：新的網路釣魚策略
像 Xiū gǒu 這樣的網路釣魚工具包使網路犯罪分子可以輕鬆建立模仿合法服務的令人信服的虛假網站。這些網站經常竊取用戶憑證和其他個人數據，然後攻擊者可以出售或利用這些數據。 Xiū gǒu 由中文威脅參與者開發，結合了包括 Golang 和 Vue.js 在內的先進技術，為攻擊者提供管理面板，從而實現從受害者那裡無縫竊取資料。
秀姑採用了多種先進的策略來避免被發現。其中關鍵是使用 Cloudflare 的反機器人功能和託管混淆，這使得傳統安全系統發現和阻止這些網站變得更具挑戰性。 Xiū gǒu 透過使用「.top」網域作為虛假網站來進一步逃避偵測，並透過 Telegram 匯集竊取的訊息，以便攻擊者輕鬆存取。
豐富的通訊服務 (RCS)：網路釣魚的新途徑
Xiū gǒu 不依賴傳統的簡訊網路釣魚，而是使用豐富的通訊服務 (RCS) 來引誘受害者。 RCS 訊息可透過 Apple Messages（從 iOS 18 開始）和 Android 版 Google Messages 提供，透過支援檔案共用、輸入指示符甚至可選的端對端加密來增強簡訊體驗。諷刺的是，RCS 的增強功能使其對網路犯罪分子具有吸引力，他們利用這些可信賴的通訊管道發送虛假通知。
Xiū gǒu 基於 RCS 的網路釣魚郵件經常聲稱收件人欠停車罰金或需要更新送貨地址。其中包含一個縮短的 URL 鏈接，將受害者引導至一個旨在收集個人資料並誘騙他們付款的虛假網站。透過冒充知名服務並營造緊迫感，這些訊息操縱受害者分享他們的敏感資訊。
谷歌的回應：加強保護以打擊網路釣魚詐騙
Google 已經意識到這些增強型網路釣魚方法所帶來的威脅，並針對 RCS 訊息推出了新的保護措施來應對這些風險。這家科技巨頭最近推出了設備上的機器學習演算法，以過濾與包裹遞送和其他常見網路釣魚詐騙相關的詐騙訊息。此外，Google還在印度、泰國、馬來西亞和新加坡等地區啟動了一項試點計劃，當用戶收到來自未知寄件者的潛在危險連結的消息時向用戶發出警報。該功能預計到 2024 年底將在全球擴展，旨在更有效地阻止可疑訊息。
為了增加另一層保護，Google還允許用戶“自動隱藏來自非現有聯絡人的國際寄件者的郵件”，將這些郵件放入“垃圾郵件和封鎖”資料夾中，以最大程度地減少其可見性。
廣泛影響：針對企業和個人的網路釣魚攻擊
Xiū gǒu 網路釣魚套件並不是唯一流通的威脅。思科 Talos 也揭露了一項針對台灣 Facebook 業務和廣告帳號持有者的持續網路釣魚活動。此活動提供竊取惡意軟體，包括 Lumma 和 Rhadamanthys，它們可以收集敏感資訊並危害企業帳戶。受害者收到一封自稱來自某公司法務部門的電子郵件，以採取法律行動為威脅，要求刪除涉嫌侵權的內容。電子郵件中的惡意連結會下載偽造的 PDF 文件，從而使受害者的裝置感染惡意軟體。
此外，最近出現了冒充 OpenAI 的網路釣魚活動，向世界各地的商業接收者發送訊息，敦促他們更新付款資訊。這些電子郵件從單一網域發送到數千個收件人，在電子郵件正文中使用多個超連結來逃避偵測。儘管可疑，這些電子郵件仍通過了 DKIM 和 SPF 檢查，對於收件者和自動電子郵件安全系統來說都是合法的。
為什麼像 Xiū gǒu 這樣的網路釣魚工具包對每個人來說都是危險的
Xiū gǒu 等網路釣魚工具包降低了進入門檻，即使是新手網路犯罪分子也能以最少的技術技能發動成功的網路釣魚攻擊。 Xiū gǒu 的管理面板和易於使用的介面使攻擊者可以輕鬆監控其虛假網站、獲取憑證並集體瞄準受害者。隨著這些工具包在暗網市場上變得更加可用且價格實惠，網路釣魚攻擊的數量可能會增加。
為了避免成為這些騙局的受害者，用戶應遵循以下安全最佳實踐：
- 仔細驗證鏈接：避免單擊未經請求的消息中的鏈接，即使它們看起來來自合法來源。請改為手動導航至官方網站來驗證 URL。
- 啟用雙重認證 (2FA) ：許多網路釣魚攻擊都會尋求登入憑證。 2FA 增加了額外的安全層，使攻擊者即使竊取密碼也更難存取帳戶。
- 隨時了解安全功能：隨著 Google 等公司增強 RCS 安全性，使用者應保持應用程式處於最新狀態並利用所提供的任何新安全功能。
- 警惕緊急請求：許多網路釣魚詐騙都會給人一種緊迫感，向受害者施壓。當訊息要求立即採取行動時要小心，尤其是涉及付款或帳戶驗證時。
最後的想法
Xiū gǒu 網路釣魚工具包和類似威脅展示了網路犯罪不斷變化的模式。隨著網路釣魚工具變得更加先進和易於訪問，用戶保持警惕比以往任何時候都更加重要。透過實施安全最佳實踐並了解最新威脅，個人和企業都可以保護自己免受這些日益複雜的攻擊。
