Solusi sistem file terdesentralisasi yang dikenal sebagai IPFS menjadi “sarang” baru untuk hosting situs phishing.
Perusahaan keamanan siber Trustwave SpiderLabs, yang mengungkapkan secara spesifik kampanye serangan tersebut, mengatakan pihaknya mengidentifikasi tidak kurang dari 3.000 email yang berisi URL phishing IPFS sebagai vektor serangan dalam tiga bulan terakhir.
IPFS, kependekan dari InterPlanetary File System, adalah jaringan peer-to-peer (P2P) untuk menyimpan dan berbagi file dan data menggunakan hash kriptografi, alih-alih URL atau nama file, seperti yang diamati dalam pendekatan client-server tradisional. Setiap hash membentuk dasar untuk pengidentifikasi konten unik (CID).
Idenya adalah untuk membuat sistem file terdistribusi tangguh yang memungkinkan data disimpan di banyak komputer. Ini akan memungkinkan informasi diakses tanpa harus bergantung pada pihak ketiga seperti penyedia penyimpanan cloud, yang secara efektif membuatnya tahan terhadap sensor.
“Menghapus konten phishing yang disimpan di IPFS bisa sulit karena meskipun dihapus di satu node, mungkin masih tersedia di node lain,” kata peneliti Trustwave Karla Agregado dan Katrina Udquin dalam sebuah laporan.
Masalah rumit lebih lanjut adalah kurangnya Uniform Resource Identifier (URI) statis yang dapat digunakan untuk mencari dan memblokir satu bagian dari konten yang sarat malware. Ini juga berarti akan lebih sulit untuk menghapus situs phishing yang dihosting di IPFS.
Serangan yang diamati oleh Trust biasanya melibatkan beberapa jenis rekayasa sosial untuk menurunkan penjaga target untuk membujuk mereka untuk mengklik tautan IPFS palsu dan mengaktifkan rantai infeksi.
Domain ini meminta calon korban untuk memasukkan kredensial mereka untuk melihat dokumen, melacak paket di DHL, atau memperbarui langganan Azure mereka, hanya untuk menyedot alamat email dan kata sandi ke server jarak jauh.
“Dengan persistensi data, jaringan yang kuat, dan sedikit regulasi, IPFS mungkin merupakan platform yang ideal bagi penyerang untuk menghosting dan berbagi konten berbahaya,” kata para peneliti.
Temuan ini muncul di tengah pergeseran yang lebih besar dalam lanskap ancaman email, dengan rencana Microsoft untuk memblokir makro yang menyebabkan pelaku ancaman menyesuaikan taktik mereka untuk mendistribusikan executable yang dapat mengarah pada pengintaian lanjutan, pencurian data, dan ransomware.
Dilihat dari sudut pandang itu, penggunaan IPFS menandai evolusi lain dalam phishing, memberikan penyerang tempat bermain lain yang menguntungkan untuk bereksperimen.
“Teknik phishing telah mengambil lompatan dengan memanfaatkan konsep layanan cloud terdesentralisasi menggunakan IPFS,” para peneliti menyimpulkan.
“Para spammer dapat dengan mudah menyamarkan aktivitas mereka dengan meng-hosting konten mereka di layanan hosting web yang sah atau menggunakan beberapa teknik pengalihan URL untuk membantu menggagalkan pemindai menggunakan reputasi URL atau analisis URL otomatis.”
Terlebih lagi, perubahan ini juga disertai dengan penggunaan kit phishing siap pakai – tren yang disebut phishing-as-a-service (PhaaS) – yang menawarkan cara cepat dan mudah bagi pelaku ancaman untuk melakukan serangan melalui email dan SMS.
Memang, kampanye skala besar yang ditemukan bulan lalu diamati menggunakan platform PhaaS berusia empat bulan yang dijuluki Robin Banks untuk menjarah kredensial dan mencuri informasi keuangan dari pelanggan bank terkenal di Australia, Kanada, Inggris, dan AS, perusahaan keamanan siber IronNet mengungkapkan minggu ini.
“Sementara motivasi utama scammers menggunakan kit ini tampaknya finansial, kit juga meminta korban untuk kredensial Google dan Microsoft mereka setelah mereka melakukan perjalanan ke halaman arahan phishing, menunjukkan itu juga dapat digunakan oleh pelaku ancaman yang lebih maju yang ingin mendapatkan keuntungan. akses awal ke jaringan perusahaan untuk ransomware atau aktivitas pasca-intrusi lainnya,” kata para peneliti.
Sumber: The Hacker News
