![]()
卡巴斯基最近抓到一个新套路:有人用无代码 AI 建站工具 Bubble,像搭积木一样搭出假的微软登录页,专门偷账号密码。
Bubble 本身是正经生意——你不用写代码,拖拖拽拽或者打几行字描述需求,它就能帮你生成一个完整网站。问题就出在这份"正经"上。黑客搭好的钓鱼页面,天生带着 *.bubble.io 的域名后缀,邮件安全系统一看:老熟人啊,过。于是这些链接大摇大摆进了用户收件箱。
更阴的是第二层伪装。假页面有时候还套个 Cloudflare 验证,用户看到那个转圈圈的安全检查,警惕心先降了一半。输入账号密码的瞬间,数据就进了黑客后台。你的邮件、日历、OneDrive 里的文件,全成了明牌。
![]()
卡巴斯基的研究人员拆解后发现,Bubble 自动生成的代码是一团复杂的 JavaScript 和影子 DOM 的混合物。静态扫描工具面对这堆机器产物,基本处于"看不懂但觉得很厉害"的状态,直接放行。安全专家想手工分析?得先花大力气做逆向,成本极高。
这事的可怕之处在于门槛。以前搭钓鱼网站多少要懂点技术,现在会打字就行。研究人员担心,这种手法很快会被"钓鱼即服务"的黑产平台收编,打包进那种点几下鼠标就能开工的傻瓜工具里。再结合现有的 Cookie 盗取、绕过双因素认证等技术,防御方的压力会成倍增加。
一个值得留意的细节:卡巴斯基在报告中提到,部分受害者在发现异常前,已经持续使用假登录页长达数周——因为页面实在太像真的了。
特别声明:以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布,本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.