核心要点
- 虚假银行网站通过伪造“已暂停”通知来规避安全扫描。
- 安全工具看到的是删除警告，而受害者访问的仍是钓鱼页面。
- 目前仍有数百个此类欺诈域名处于活跃状态。
KELA 研究人员揭露了一套活跃的金融诈骗基础设施。截至 10 月，该网络运营着 248 个与 189 家美国主要银行及金融服务机构相关的欺诈性钓鱼域名。
据这家网络安全公司周二发布的报告称，这些网站复制了受害机构的官方域名格式，许多采用 [关键字]-[银行].com 的结构，其中关键字包括“安全”、“禁用”、“保护”和“取消”等。
这一钓鱼活动的独特之处
此次网络钓鱼活动之所以引起关注，在于犯罪分子为保护其基础设施所采用的反侦察机制。
通常情况下，执法机构会在科技公司的协助下定位恶意网站，获取法庭命令，并通过注册商或托管服务商强制暂停相关账户或基础设施。这一流程同样适用于自动化扫描器和安全团队。
然而，在此案例中，骗子构建了一种欺骗机制：只有当潜在威胁者（如安全研究员）出现时，系统才会展示伪装信息，从而避免被标记和关闭。
虚假“暂停”通知的工作原理
这种虚假的停职通知设计得相当隐蔽。嵌入域名的钓鱼工具会记录每个访问者的 IP 地址，并将页面伪装成类似 Cloudflare 合法使用的挑战验证页。
研究人员还发现了其他诱饵形式，包括显示“对不起，你被封锁了”的通知、空白页面以及重定向至 Google 的行为。部分页面甚至包含 reCAPTCHA 验证，且检测到有脚本阻止浏览器开发工具运行，这可能旨在延缓分析过程。
为何要展示虚假的停职通知？对于扫描器和网络安全团队而言，这给人一种错觉，即有人已经处理并移除了该恶意域名。
KELA 指出，这种设计的目标正是那些可能关闭网站的人。普通受害者通常只跟随链接访问一次；而扫描仪、安全团队或移除服务提供商在检查报告的网站后，往往会进行二次确认以核实是否已删除。此时，第二次检查显示的便是看似已完成的“删除”状态。
如图所示，虽然扫描器检测到的是暂停通知，但受害者仍然能看到仿冒的银行网站。毕竟，对于实施诈骗而言，一次成功的访问就已足够。
活动规模与线索
截至发稿时，已有 248 个域名处于活跃状态。自今年 5 月以来，同一基础设施上已托管超过 300 个诈骗域名。不幸的是，该网络钓鱼活动依然活跃，每天都有新的域名出现。
调查中发现的一条线索指向运营商身份：攻击者通过英国标准家庭宽带连接，使用远程桌面协议控制恶意基础设施。
如何识别虚假银行网站
建议使用网络钓鱼链接检查器验证网址的可信度。需牢记，任何声称来自银行的电子邮件或消息都可能是欺诈性的。
银行钓鱼邮件的典型特征包括：
- 异常的电子邮件地址：这是来自欺诈域名的明确信号。需警惕微小的拼写错误或陌生的域名后缀。
- 格式错误：拼写错误、糟糕的排版、模糊通用的内容或缺乏具体细节，均可能指向钓鱼邮件。标识可能会被复制粘贴到正文中以增加说服力，切勿轻信。
- 情绪化内容：钓鱼邮件常试图引发恐慌等情绪反应。若收到要求付款、提及滞纳金或因未知问题威胁起诉的邮件，请直接拨打银行官方电话核实，切勿使用邮件中提供的联系方式。
- 可疑链接和附件：恶意链接和附件是网络犯罪的常见手段。链接可能将用户导向钓鱼域名，而附件可能包含感染计算机的恶意软件。对此类元素应保持警惕。
针对组织用户，KELA 已发布了一款免费的银行钓鱼检查工具。
