威胁情报公司Cyble的研究人员在一次新的网络钓鱼活动中发现了滥用Ngrok平台的威胁行为者。
威胁情报公司Cyble的研究人员发现了针对多个滥用ngrok平台的组织的新一波网络钓鱼攻击，ngrok平台是通往本地主机的一个安全且可自省的隧道。
ngrok是一个跨平台应用程序，用于将本地开发服务器公开到Internet，通过创建到本地主机的长寿命TCP隧道，该服务器似乎托管在ngrok的子域（例如4f421deb219c【·】ngrok【·】io）上。专家们指出，ngrok服务器软件运行在VPS或专用服务器上，可以绕过NAT映射和防火墙限制。
图源自图虫创意
威胁行为体正在为多种恶意目的滥用协议。
Cyble发布的帖子中写道：“多个威胁参与者滥用ngrok平台，获得对目标的未经授权访问，以交付额外的有效载荷、过滤信用卡/借记卡信息等金融数据，并实施有针对性的网络钓鱼攻击。”
专家指出，滥用ngrok平台的攻击很难被发现，因为连接到ngrok的子域ngrok.com网站不会被安全措施过滤。
专家们提供了一份由网络犯罪组织和国家规定的行为者（如Fox Kitten和Pioneer Kitten APT组织）实施的基于ngrok的攻击清单。
专家们报告了多个恶意软件和网络钓鱼活动滥用ngrok隧道，包括
使用ngrok隧道的恶意软件/网络钓鱼活动的一些新变种：
- Njrat公司
- 暗度计
- 类星体大鼠
- 阿辛拉特
- 纳米核心大鼠
Cyble关注的是施暴者的威胁ngrok.io公司提供网络钓鱼攻击。
“有趣的是，我们发现ngrok.io公司Cybler继续说：“不同的威胁参与者，如BIN CARDERS、Telegram-carderdata和linlogpass，在darkweb市场/泄密和网络犯罪论坛中使用的链接。”。
Cyble还发现了一个名为“KingFish3（Social master）”的网络钓鱼工具包，它在一个网络犯罪论坛上做了广告。专家们发现，一名威胁参与者在论坛上分享了该工具的Github链接，该工具还滥用ngrok隧道实施攻击。
以下是专家们确定的滥用ngrok隧道和实施网络钓鱼攻击的步骤：
- 该工具使用ngrok创建一个隧道，指向具有指定端口的选定仿冒URL。
- 黑客在第一个会话中跟踪实时日志，并等待受害者输入他们的电话号码。
- 然后，黑客使用获取的凭据登录到受影响应用程序的官方网站，并生成一个OTP（2FA）。
- 然后，受害者将收到的OTP输入黑客捕获的钓鱼网站。
- 最后，黑客可以使用OTP（2FA）访问受害者的官方账户。
这篇文章包括一部分基于ngrok的网络钓鱼危害指标（IOCs）。
以下是Cyble专家的建议：
- 建议ngrok和其他隧道服务的用户从其信息安全团队获得授权。
- 建议对其隧道访问进行密码保护，并启用IP白名单以限制仅对受信任的IP地址的访问。
- 在可能和实用的情况下，在计算机、移动设备和其他连接的设备上启用自动软件更新功能。
- 定期监控您的金融交易，如果您发现任何可疑活动，请立即与您的银行联系。
- 在连接的设备（包括PC、笔记本电脑和手机）上使用知名的防病毒和互联网安全软件包。
- 担心自己暴露在黑暗网络中的人可以在amibreaked.com网站以确定他们的暴露。
- 避免打开不受信任的链接和电子邮件附件，而不验证其真实性。
【参考来源：securityaffairs·co】
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
