Забравен уеб сървър може да се превърне в прозорец към престъпна операция. В този случай Python HTTP услуга, оставена незащитена на виртуален частен сървър (VPS), разкри работните материали на няколко атакуващи.
Откритието предлага рядък поглед върху това как фишинг операциите могат да се застъпят върху лошо управлявана инфраструктура. Вместо да експлоатира нов софтуерен дефект, излагането на информация изглежда е резултат от оперативна грешка: лек сървър е бил достъпен от интернет с все още налични файлове.
Такива грешки могат да разкрият фишинг страници, компоненти за пренасочване на входове (login-relay), конфигурационни данни и улики за хората, управляващи кампанията. Анализатори от Lexfo идентифицираха изложения Python сървър и свързаха съдържанието му с три активни фишинг кампании от типа "атака на посредника" (Adversary-in-the-Middle - AiTM).
Тази техника поставя атакуващия между жертвата и легитимна услуга за влизане, позволявайки на оператора да прихване идентификационни данни и удостоверени браузърни сесии. Това е важно, тъй като откраднатите данни за сесията понякога могат да позволят на престъпниците да заобиколят защитите, които обикновено спират влизане само с парола.
Сървърът не е бил просто целева страница. Съобщава се, че той е изложил пълен инструментариум, който AiTM оператор би могъл да използва за изграждане, хостване и поддържане на примамки за кражба на идентификационни данни. Когато такъв материал е публичен, разследващите могат да сравняват шаблони, скриптове, файлови пътища и навици на работа при иначе отделни инциденти.
Появата на три активни кампании на едно място не доказва непременно, че една и съща група ги контролира всичките. Това може да означава споделена инфраструктура, повторно използвани комплекти, наети услуги или оператор, който е вършил работа за други.
За организациите практическият риск не се ограничава до фалшива страница за влизане. AiTM операциите са проектирани да прихващат целия процес на влизане и могат да събират бисквитки за сесии или токени заедно с паролите. Тези артефакти могат да бъдат особено полезни там, където е въведена многофакторна автентификация.
Екипите за сигурност трябва първо да идентифицират всяка услуга с достъп до интернет, включително кратковременни сървъри за разработка, и да премахнат всичко, което вече не е необходимо. Защитниците могат също така да следят за необичайни модели на влизане, неочаквани промени в местоположението на сесията и бързо използване на сесията след удостоверяване на потребителя.