Не всичко, което изглежда сигурно, наистина е такова

Еднаквина представа: интернетът, който виждаме, не винаги е този, до който стигаме.

Вече сме се научили да разпознаваме съмнителните имейли. Знам, че не трябва да кликвам върху линкове от нигерийски принцове или да отварям прикачени файлове от непознати. Но какво да кажем, когато същият този линк идва от Google? Или от "Капитал"? Или от който и да е друг сайт, на който разчитаме с години?

Именно тук се насочват усилията на новото поколение спамъри и измамници - и резултатът е повече от притеснителен.

Проблемът с експлоатирането на доверието

Ето една неудобна истина, която повечето ръководства за сигурност премълчават: най-опасните линкове в интернет често идват от най-надеждните източници.

Защо? Защото измамниците не са глупави. Те са разбрали, че най-трудната част от всяка атака не е зловредният софтуер или фишинг инструментът - а да накараш някого действително да кликне. Когато видш "google.com" или "dnevnik.bg" в адресната лента, години на обусловеност ти казват, че всичко е наред. Нападателите разчитат точно на това.

Тествахме това обстойно и резултатите бяха тревожни. Дори технически грамотни потребители кликваха без колебание, щом видят доверен домейн. Точно това са пресметнали атакуващите.

Как точно се случва това

Техниките варират, но имат общ знаменател: злоупотреба с легитимна инфраструктура, за да се прикрие злонамерена цел.

Пренасочващи вериги през доверени домейни

Един популярен метод включва създаване на сложни вериги от пренасочвания, минаващи през легитимни уебсайтове. Потребителят кликва върху нещо, което изглежда като Google AMP линк или споделена статия, но на заден план трафикът му се прехвърля през няколко домейна, преди да кацне на измамническа страница. Началният URL изглежда съвсем безопасен. Крайната дестинация - съвсем не.

Компрометирани рекламни мрежи

Много големи издатели разчитат на външни рекламни мрежи за приходи. Нападателите са открили, че като инжектират злонамерен код в тези мрежи, могат да разпространяват зловреден софтуер на милиони потребители през сайтове, които иначе са напълно легитимни. Някои от най-големите медии в света са се сблъсквали с този проблем.

Злоупотреба с URL скъсяващи услуги

Услуги като тези на Google са създадени за удобство. Нападателите ги използват като камуфлаж. Когато видиш "goo.gl" в линка, приемаш го като безопасен, защото е услуга на Google. Нямаш начин да разбереш, че този съкратен URL води до фишинг страница.

Отвличане на поддомейни

Това е особено подло. Нападателите намират изоставени облачни хранилища или неизползвани поддомейни, свързани с легитимни компании, и ги насочват към злонамерени сървъри. URL-ът все още показва домейна на доверената марка - технически си е техен - но съдържанието се контролира изцяло от нападатели.

Реални последици

Тези атаки не са теоретични. Наскоро изследователи документираха кампании, при които:

• Злонамерени пренасочвания се появиха в резултатите на Google, изпращайки потребители към фалшиви крипто борси
• Фалшиви страници за вход бяха хоствани в Google Cloud инфраструктура, което ги правеше почти невъзможни за блокиране
• Компрометирани рекламни мрежи на големи новинарски сайтове доставиха банкови троянци на нищо неподозиращи посетители

Моделът е постоянен: нападателите се насочват към инфраструктура, която потребителите няма да блокират, защото включва легитимни услуги, от които се нуждаят.

Как да се защитим

Знанието е първата ти линия на защита. Ето какво действително работи:

Спирай се над линка преди да кликнеш Звучи основно, но спасява животи. Преди да кликнеш върху какъвто и да е линк, спри се върху него, за да видиш истинската дестинация. Ако показаният текст не съвпада с URL-а - нещо не е наред.

Използвай URL скенери Преди да посетиш линк, особено от имейл или социални мрежи, провери го с услуга за сканиране на URL адреси. Повечето сигурностни компании предлагат безплатни инструменти за това.

Поддържай браузъра си обновен Съвременните браузъри имат все по-усъвършенствана детекция на тези пренасочващи вериги. Старият софтуер те оставя уязвим към техники, които вече са закърпени.

Помисли за мрежовото ниво на защита

Когато маршрутизираш трафика си през сигурна VPN връзка, добавяш допълнителна бариера между себе си и злонамерената инфраструктура. Много VPN услуги включват филтриране, което блокира познати злонамерени домейни, преди да могат да изпълнят каквито и да е вериги или да доставят зловреден софтуер.

Проверявай извън клика

Получил си линк към голям сайт? Не го кликай - въведи адреса ръчно. Така напълно заобикаляш всякаква пренасочваща верига.

По-голямата картина

Това, което ме притеснява най-много в тази тенденция: тежестта на сигурността непрекъснато се прехвърля към потребителите, докато собствениците на инфраструктурата бавят със смислени решения. Google, Microsoft и други големи платформи разполагат с ресурсите да въведат по-строги контроли, но много от тях не го правят, защото това би усложнило легитимната употреба.

Докато това не се промени, ти си последната си линия на защита.

Следващия път, когато видиш линк от доверен източник - спри се. Провери го. Съмнявай се в него. Имейлите от нигерийски принцове вече са очевидни, но реалните заплахи днес изглеждат точно като сайтовете, на които разчиташ с години.

Това не е параноя - това е добра операционна сигурност.

Пази се.