Kimlik avı sayfalarının yaşam döngüsünü analiz eden Kaspersky araştırmacıları, kimlik avı sayfalarının üçte birinin bir gün içinde devre dışı kaldığını ve sayfa ömrünün ilk saatlerinin kullanıcılar açısından en tehlikeli zaman dilimi olduğunu keşfetti. Bu, söz konusu site kimlik avına karşı koruma sistemleri tarafından tespit edilip veritabanlarına girilmeden önce saldırıların gerçekleştiği ana karşılık geliyor.
Bu çalışmada araştırmacılar 19 Temmuz- 2 Ağustos 2021 tarihleri arasında 5.307 kimlik avı sayfası örneğini analiz etti. Bağlantıların önemli bir kısmı (1.784) izlemenin ilk gününden sonra aktif olmayı bırakırken çoğu sayfa ilk saatlerde yok oldu. Sonuçta izlemenin başlangıcından 13 saat sonra sayfaların dörtte biri etkinliğini yitirdi ve yarısı 94 saatten fazla dayanamadı.
Kimlik avı sayfasının ömrü, site yöneticileri tarafından görünür hale geldiği ve onlar tarafından kaldırıldığı ana bağlı. Kimlik avcıları satın alınan etki alanında kendi sunucularını konuşlandırmış olsa ve sahtekarlık faaliyetinden şüphelenilse bile, barındırma şirketleri kimlik avcılarını bu alandaki verileri barındırma hakkından mahrum edebilir.
Bu amaçla açılan her yeni site, ömrünün her saatinde daha fazla kimlik avı önleme veritabanında belirir. Bu da daha az potansiyel kurbanın siteyi ziyaret edeceği anlamına gelir. Bu tür sayfaların yaşam döngüsü çok kısa olduğu için kimlik avcıları, siteleri hala aktifken ilk saatlerde potansiyel kurbanlara mümkün olan en geniş erişimi sağlamak için ilk oluşturuldukları anda kimlik avı sayfalarına bağlantılar dağıtmaya odaklanırlar.
Saldırganlar çok daha sık biçimde mevcut bir sayfayı değiştirmek yerine yeni bir sayfa oluşturmayı seçer. Ayrıca kimlik avcıları nadiren engellenmemek için sayfayı değiştirebilir. Örneğin kimlik avcıları bir markayı yem olarak kullanırsa, onu başka bir markayla değiştirebilirler. Ancak çoğu sayfa, kimlik avcılarının etkinlik biçimini değiştirmeye karar vermesiyle engellenir. Bunun yanında başka bir yöntem de kullanıcı tarafından görülmeyen, ancak kimlik avı önleme motorlarının belirsiz bir süre boyunca bunları engellemesini önleyen rastgele hazırlanmış kod öğeleri oluşturmaktır. Neyse ki Kaspersky kimlik avı önleme motoru bu hileleri ustaca atlatabilme yeteneğine sahip.
İçeriği engellenmemesi için değiştirilen sayfaların büyük çoğunluğu, popüler çevrimiçi oyunun en bilinen etkinliklerinden biri olan PUBG çekilişini taklit ediyor. Saldırganlar, yeni sezonla oyundaki geçici bir olayı eşleştirmek veya kimlik avı sayfasının orijinaline olabildiğince yakın olmasını sağlamak için sayfanın içeriğini zamanla değiştiriyor.
Kaspersky Güvenlik Araştırmacısı Egor Bubnov, şunları söylüyor:
“Bu tür araştırmalar yalnızca veritabanlarımızı güncellemek adına yararlı olmakla kalmıyor, aynı zamanda olay yanıtını iyileştirmek için de kullanılabiliyor. Örneğin bir kuruluş sahte bağlantılarla spam saldırısı geçiriyorsa, kimlik avcılarının etkinliği için en faydalı zaman olması nedeniyle ilk saatlerde bunu püskürtmek önemli. Buna karşılık kullanıcıların bir bağlantı aldıklarında ve sitenin meşruluğu konusunda şüpheleri olduğunda birkaç saat beklemelerini tavsiye ettiğimizi hatırlatırız. Bu süre zarfında yalnızca kimlik avı önleme veritabanlarına eklenme olasılığı artmakla kalmayacak, kimlik avı sayfasının kendisi de etkinliğini durdurabilecektir. Yalnızca kimlik avını yakalamakla kalmayıp aynı zamanda saldırıları başarıyla savuşturmak üzere yaptığımız araştırmalar sayesinde kullanıcılarımız iyi korunduklarından emin olabilirler.”
