Фишинг кампаниите, генерирани от изкуствен интелект (ИИ), се развиват бързо отвъд традиционното разпространение на зловреден софтуер, пренасяйки бойното поле директно в уеб браузъра. Там атакуващите могат да компрометират активни сесии, да заобиколят многофакторната автентификация (MFA) и да избегнат конвенционалните средства за защита на крайните устройства.

Този нов модел на заплаха принуждава центровете за операции по сигурността (SOC) да преосмислят начина, по който фишинг атаките се откриват, разследват и ограничават, тъй като киберпрестъпниците все повече разчитат на техники за атака тип „посредник“ (AiTM) и примамки, създадени от ИИ, вместо на зловреден изпълним код.

Традиционните защити като имейл шлюзове, системи за откриване и реагиране на крайни устройства (EDR) и изолирани среди за анализ на файлове остават критично важни, но вече не са достатъчни сами по себе си.

Съвременните фишинг атаки често не оставят след себе си зловредни файлове или подозрителни процеси, а вместо това се развиват изцяло в рамките на легитимни сесии в браузъра.

Веригите на атака сега обикновено включват доверени домейни, многостепенни пренасочвания, динамично рендерирани фишинг страници и интерфейси за събиране на идентификационни данни, които изглеждат неразличими от легитимните корпоративни услуги.

В много случаи атакуващите експлоатират сесийни токени вместо статични пароли, което им позволява да заобикалят MFA и да поддържат постоянен достъп.Финансовото и оперативното въздействие от тази промяна е значително:

  • Загуби от компрометиране на бизнес имейли (BEC): Според доклада IC3 на ФБР, BEC атаките са довели до загуби в размер на 3,05 милиарда долара за една година.
  • Дял на пробивите чрез кражба на идентификационни данни: Докладът на Verizon за разследване на нарушения на сигурността на данните приписва 53% от пробивите на кражба на идентификационни данни, свързана с фишинг.
  • Тенденции при заобикаляне на MFA: Докладът за дигитална защита на Microsoft подчертава, че 80% от инцидентите със заобикаляне на MFA са пряко свързани с откраднати сесийни токени.
  • Социално инженерство, генерирано от ИИ: Докладът на ENISA за ландшафта на заплахите показва, че 80% от атаките на социалното инженерство вече включват съдържание, генерирано от ИИ.

Едно от основните предизвикателства пред SOC екипите е липсата на видимост в шифрованите HTTPS сесии, къдито се случват тези атаки. Тъй като фишинг активността често е скрита в легитимен шифрован трафик, традиционните инструменти за мрежов мониторинг не успяват да открият злонамерените поведенчески модели.

Съвременните технологии за изолирана среда (пясъчник) адресират тази липса на видимост, като насочват фокуса към анализ на ниво браузър. Тези платформи позволяват на анализаторите да наблюдават атаките по начина, по който ги преживяват потребителите – включително вериги от пренасочвания в реално време, промени в Document Object Model (DOM) и динамично инжектиран код, осигурявайки пълен контекст за специфичните за браузъра заплахи.

Ключова възможност в тази рамка е автоматизираното декриптиране на SSL, което извлича сесийни ключове директно от паметта на процесите, за да разкрие шифрования уеб трафик, без да разчита на инвазивни прокси сървъри тип „посредник“.

Инспектирането на декриптирания сесиен трафик позволява на екипите по сигурност да проверяват фишинг кодовете и промените в DOM, които иначе биха останали скрити зад HTTPS шифроването.

Отвъд първоначалното откриване, съвременните разследвания на фишинг разчитат в голяма степен на работни процеси за анализ на заплахи, които превръщат кратките артефакти от браузърните сесии в постоянни правила за откриване.

DOM елементи, уникални променливи в скриптове и скрити полета във форми, уловени по време на изпълнението в браузъра, могат да бъдат превърнати в YARA правила. Това позволява на анализаторите по сигурността да преминат от единичен фишинг URL адрес към разкриване на свързана инфраструктура, свързани образци на зловреден софтуер и по-широки кампании на злонамерени субекти.

Чрез използване на сложно извличане на артефакти, разследването на един URL адрес може да разкрие стотици свързани индикатори за компрометиране (IOC). Интегрирането на тези данни в корпоративното търсене на заплахи позволява проактивно ранно откриване, преди фишинг инфраструктурата да се разпространи в корпоративните мрежи.

Събирането на разузнавателни данни е ефективно само ако може да бъде приложено бързо. Автоматизираните потоци от данни за заплахи, интегрирани директно в SIEM, SOAR и EDR платформи, позволяват на организациите непрекъснато да откриват възникващи фишинг кампании без ръчно управление на IOC.

Свързването на индикаторите от изолираната среда в реално време с автоматизирани работни процеси в SIEM дава възможност на SOC екипите автоматично да изолират компрометирани сесии, да оттеглят откраднати токени за автентификация и да блокират злонамерена C2 инфраструктура в реално време.

Преходът към фишинг без използване на зловреден софтуер представлява фундаментална промяна в стратегията на атакуващите. Вместо да разчитат на изпълними файлове, злонамерените субекти се насочват директно към идентичността, целостта на сесията и доверието на потребителя в браузъра.

Организациите, които адаптират своите SOC процеси, за да включат видимост на ниво браузър, декриптиране на SSL в паметта и автоматизирано интегриране на разузнавателни данни за заплахи, ще бъдат най-добре позиционирани да ограничат кражбата на сесии, управлявана от ИИ, преди критичните системи да бъдат компрометирани.