随着通過電子郵件進行通信成為世界上大部分企業的日常，騙子們也越來越多地利用網絡釣魚技術來攻擊企業使用者。這些技術可以讓他們竊驗證書，用于BEC詐騙、社會工程或竊取企業機密。
在過去，網絡釣魚活動要求攻擊者具備一定的技術知識，以便利用網絡釣魚工具包、入侵網站來托管用于竊驗證書的網絡釣魚登陸頁面，以及建立真實的垃圾郵件活動。
為了克服這一進入障礙，攻擊者正在開發新的犯罪網站，提供一種“ Phishing-as-a-Service”的服務，其中包括網絡釣魚工具包，并以非常低的成本為網絡釣魚表格提供托管服務。這使得幾乎沒有技術知識的潛在罪犯可以很容易地開始他們自己的phishin活動。
Phishing-as-a-Service驅動了Phishing的增長
新的phishin -as-a- service (PhaaS)網站正在建立中，犯罪分子不用自己開發釣魚登入頁面了，直接選擇該網站上的模闆即可自動生成一個被托管的釣魚頁面。
可用的釣魚模闆包括Sharepoint、Office 365、LinkedIn、OneDrive、谷歌、Adobe、Dropbox、DocuSign等等。這些模闆的價格從30美元到80美元不等，包括一個月的頁面托管費
基于雲安全提供商Cyren的一份新報告，這些新服務使得正在建立的新型網絡釣魚活動快速增長。
報告稱：“目前面臨的現實是,我們觀察到，越來越多的攻擊者以比過去更少的精力和更低的成本，進行越來越多的規避性網絡釣魚活動。因為技術成熟的網絡釣魚攻擊開發者已經采用了SaaS商業模式，使得即使是最業餘的犯罪分子，也能以高度的真實性和嵌入的規避政策攻擊目标網站。”
例如，Cyren的安全研究員Magni Sigurdsson與Bleeping Computer分享了一款PhaaS産品：“我們是一家私人服務提供商，為托管垃圾郵件頁面提供用戶端解決方案。我們所做的是保證我們的客戶釣魚連結可用1個月，我們為客戶提供3個連結，客戶可以使用兩個連結作為備份。”
使用PhaaS服務，騙子隻需要專注于垃圾郵件，不再需要擔心設定釣魚工具包和黑客站點來托管他們的釣魚登入頁面了。
為了更容易地開展垃圾郵件活動，PhaaS服務還銷售電子郵件清單，也就是他們所謂的“線索”。
例如，上面所示的“FRA France Leads”被描述為包含“150萬+ France Leads”，它們是“被驗證過是真實的該地區的郵件”。
這些線索的定價并不容易獲得，買家需要通過ICQ聯系網站所有者來獲得定價。
越來越先進的釣魚技術和日益增加的規避方法
雖然“Phishing-as-a-Service”網站讓釣魚攻擊不斷增長，但安全軟體在檢測釣魚活動方面變得更加敏銳。是以，攻擊者不得不想出更創新的方法來讓人們點選所附的連結，以逃避檢測。
例如，我們最近看到了冒充郵件帳戶删除通知、未發送郵件提示和虛假語音郵件消息的釣魚活動。所有這些電子郵件的目的都是為了讓使用者點選所附的連結，該連結指向要求登入憑證的登入頁面。
為了避開機器學習和安全軟體的檢測，網絡釣魚活動越來越多地使用規避技術。
據Cyren稱，他們發現的87%的網絡釣魚活動，現在都在利用規避技術試圖繞過檢測。所使用的規避技術如下：
HTML字元編碼：這種技術将釣魚騙局的HTML編碼為對自動掃描引擎來說是胡言亂語，但對web浏覽器或電子郵件用戶端來說是可讀的。
内容加密：這種技術不是編碼HTML，而是加密資料，然後在web浏覽器中檢視時使用JavaScript對資料進行解密。
檢查阻塞：釣魚工具将阻止各種IP位址、浏覽器使用者代理或引用通路登入頁面。這是一個試圖阻止自動系統使用的谷歌，反病毒引擎，或安全供應商正确讀取頁面。這通常是使用帶有預建構簽名的htaccess檔案來完成的，該檔案将某些通路者重定向到另一個站點，如下所示：
附件中的URL：電子郵件中不包含釣魚登入頁面URL，而是包含在其他服務上的附件中或附加到電子郵件中。
内容注入：這種技術使用合法但不安全的站點，其中包含一個腳本，可以将目标使用者重定向到一個登入頁面。
合法的雲托管：釣魚詐騙越來越多地使用合法的雲服務提供商，如Azure來托管他們的登入頁面。這樣一來，登入頁面就可以托管在windows.net等微軟品牌的url上，進而使欺詐頁面看起來合法。此外，這些頁面由Microsoft擁有的證書保護。
這對于試圖竊取Microsoft帳戶、OneDrive、Outlook和Office 365等Microsoft服務憑據的登入頁面尤其有用。
而這些技術似乎正在發揮作用。據報告顯示，2019年第一季度，網絡釣魚活動增加了17%，25%的網絡釣魚郵件繞過了Office 365的安全系統，犯罪分子正在攫取大量利潤。
參考文章：https://www.bleepingcomputer.com/news/security/phishing-as-a-service-fuels-evasion-methods-email-scam-growth
精彩推薦：點選藍字即可
▲開源Brooklin:接近實時資料流的規模
▲印象筆記被曝嚴重Bug，數百萬使用者資料恐遭洩露!
▲BlueStacks被曝巨大漏洞，Android模拟器可被遠端控制
▲圍觀拼多多優惠券Bug事件，聊一聊軟體測試對企業的重要性！