微软示警PHaaS模式：发现为网络犯罪团伙提供的大规模钓鱼服务

[[425154]]

在今天发布的安全公告中，微软安全团队发现了一个大规模的活动：利用类似主机的基础设施向网络犯罪团伙提供钓鱼服务。该服务被称为 BulletProofLink、BulletProftLink 或 Anthrax，目前在地下网络犯罪论坛上进行宣传。微软称这项服务为“钓鱼即服务”(Phishing-as-a-Service，PHaaS)模式。

该服务是在“网络钓鱼工具包”的基础上演变而来，“网络钓鱼工具包”是模仿已知公司的登录形式的网络钓鱼页面和模板的集合。BulletProofLink 通过提供内置的托管和电子邮件发送服务，将其提升到一个全新的水平。

客户通过支付 800 美元的费用在 BulletProofLink 门户网站上注册，而 BulletProofLink 运营商则为他们处理其他一切。这些服务包括建立一个网页来托管钓鱼网站，安装钓鱼模板本身，为钓鱼网站配置域名(URL)，向所需的受害者发送实际的钓鱼邮件，从攻击中收集凭证，然后在周末向“付费客户”交付被盗的登录信息。

如果犯罪团伙想改变他们的网络钓鱼模板，BulletProofLink 团伙还经营着一个单独的商店，威胁者可以在那里购买新模板用于他们的攻击，每个新模板的价格从 80 美元到 100 美元不等。

正如 The Record 今天看到的那样，BulletProofLink 商店里有大约 120 种不同的网络钓鱼模板。此外，该网站还设有教程，帮助客户使用该服务。

但微软的研究人员说，他们还发现该服务也一直在偷窃自己的客户，保留所有收集到的凭证的副本，据信该组织以后会通过在地下市场出售这些凭证来赚钱。微软将整个行动描述为技术演进(technically advanced)，该组织经常使用黑客网站来托管其网络钓鱼页面。

在某些情况下，安全团队观察到 BulletProofLink 团伙破坏了被黑网站的 DNS 记录，以便在受信任的网站上生成子域来承载钓鱼网页。微软今天说：“在研究网络钓鱼攻击时，我们发现一个活动使用了相当多的新创建和独特的子域–在一次运行中超过30万个”。