在最近觀察到的旨在接管Coinbase帳戶的網絡釣魚活動中，威脅行為者正在繞過雙因素身份驗證（2FA）并使用其他巧妙的規避策略，以騙取用戶的加密貨幣余額。

PIXM Software的研究人員發現，攻擊者正在使用當下流行的加密貨幣交易所的電子郵件來誘騙用戶登錄他們的賬戶，以便他們獲取受害者的登錄憑據，從而訪問賬戶并竊取受害者的資金。

PIXM威脅研究團隊在周四發布的一篇博文中解釋說：“他們通常會通過成百上千筆交易，通過‘Burner’賬戶網絡自動分配這些資金，以混淆原始錢包和目標錢包。”

Coinbase是一個公開交易的加密貨幣交易平臺，自2012年以來一直存在。它可以說是最主流的加密貨幣交易所之一，擁有超過8900萬用戶，因此對網絡犯罪分子來說是一個非常有吸引力的目標。

巧妙的逃避戰術

研究人員寫道，攻擊者采用了一系列策略來避免被發現，包括一個被研究人員稱為“臨時域”（short lived domains）的策略，即攻擊中使用的域“在極短的時間內保持活躍”，這與典型的網絡釣魚行為有所不同。

“我們猜測，大部分頁面在互聯網上的可用時間不到兩個小時，”因此在某些情況下，即便PIXM研究人員收到攻擊警報，他們也無法執行所需的取證行為。

研究人員指出，在環境感知和雙因素中繼等其他技術中，這會允許攻擊者“阻止窺探者深入他們的網絡釣魚基礎設施”。

根據PIXM的說法，環境感知是一種尤其隱秘的策略，因為與臨時域一樣，安全研究人員很難通過混淆網絡釣魚頁面進行事后跟進。

這種策略允許攻擊者知道IP、CIDR范圍或區域，從而可以預測他們的一個或多個目標將要連接的地方。研究人員說，然后他們可以在網絡釣魚頁面上創建類似訪問控制列表（ACL）的內容，以限制僅允許來自其預期目標的IP、范圍或區域的連接。

研究人員寫道：“即使在網站上線的幾個小時內檢測到或報告了其中一個頁面，研究人員也需要謊報頁面上的限制才能訪問該網站。”

用于帳戶接管的網絡釣魚

攻擊開始時，參與者以Coinbase用戶為目標，通過惡意電子郵件謊稱要進行貨幣兌換，使潛在受害者認為這是合法消息。

研究人員表示，這封電子郵件使用多種理由敦促用戶登錄他們的賬戶，聲稱該賬戶因可疑活動而被鎖定，或者存在交易需要確認。

與網絡釣魚活動一樣，如果用戶遵循消息指令，他們會到達一個虛假的登錄頁面并被提示輸入他們的憑據。如果發生這種情況，攻擊者會實時接收憑據，并使用它們登錄合法的Coinbase網站。

研究人員說，這發生在威脅參與者在攻擊結構中使用雙因素中繼來繞過Coinbase平臺中內置的MFA的時候。

攻擊者的行為促使Coinbase向受害者發送2FA代碼，受害者認為該通知是通過在虛假登錄頁面中輸入憑據來提示的。一旦用戶將2FA代碼輸入到虛假網站，攻擊者立即接收并登錄合法賬戶，從而獲得賬戶控制權。

將資金轉移給威脅行為者

一旦威脅者可以訪問該帳戶，他或她就會通過大量交易將用戶的資金轉移到上述帳戶網絡，以逃避檢測或避免引起懷疑。

“這些資金也經常通過不受監管的非法在線加密服務被挪用，如加密貨幣賭場、投注應用程序和非法在線市場，”研究人員補充說。

此時不知情的受害者會看到一條消息，通知他們，他們的帳戶已被鎖定或限制——這與引發整個惡意交易的初始網絡釣魚電子郵件不同。系統會提示他們與客服聊天以解決問題，并且頁面右上角會出現一個聊天框供他們執行此操作。

該提示實際上是攻擊的第二階段，其中威脅行為者冒充Coinbase員工幫助該用戶恢復他或她的帳戶，要求提供各種個人和帳戶信息。然而，研究人員說，實際上，攻擊者正在爭取時間，以便他們能夠在受害者懷疑之前完成資金轉移。

“他們正在使用這個聊天會話來讓受害人在轉移資金時被占用和分心（受害者在被轉移資金時可能會收到Coinbase的潛在電子郵件或短信），”他們寫道。

他們說，一旦資金轉移完成，攻擊者將突然關閉聊天會話并關閉網絡釣魚頁面，這讓Coinbase用戶感到困惑并很快意識到自己被欺騙了。

本文翻譯自：https://threatpost.com/phishers-2fa-coinbase/180356/如若轉載，請注明原文地址。