Страница в разработке
К нашему сайту подключен сервис веб-аналитики Яндекс Метрика, использующий cookie. Вы даете свое согласие на обработку персональных данных с помощью этого сервиса в порядке, указанном в политике конфиденциальности?
Получить консультацию
Оставьте заявку и наши специалисты
свяжутся с вами в ближайшее время
Защищаем бренды от цифровых угроз — от обнаружения до блокировки
Как злоумышленники маскируют фишинг или что такое клоакинг
Угроз на сайте не обнаружено. Но что, если проверяющий увидел не все? Один и тот же адрес может открывать обычную страницу для проверяющего, а фишинговую — для потенциальной жертвы. Этот прием используют, чтобы скрывать серые и мошеннические ресурсы от поисковых систем, правообладателей и специалистов по информационной безопасности
Дата публикации
19.10.26
Время чтения
5 минут
Что такое клоакинг
Клоакинг (cloaking) — технология, при которой один URL показывает разный контент в зависимости от того, кто открывает страницу и при каких условиях.
Пример:
- Проверяющий открывает подозрительный домен и видит заглушку, пустую страницу или перенаправление на легитимный сайт.
- Пользователь, получивший ту же ссылку в сообщении или перешедший по рекламному объявлению, попадает на поддельную страницу входа, форму оплаты или другой мошеннический ресурс.
Где используют клоакинг
— Манипуляции поисковой выдачей
Клоакинг применяют в SEO: поисковому роботу показывают оптимизированную версию страницы, тогда как обычный посетитель видит иной контент.
Подобный подход используют для манипуляций поисковым ранжированием и обхода правил поисковых систем.
— Маскировка фишинга, мошеннических ресурсов
Клоакинг помогает скрывать поддельные формы авторизации, оплаты и получения выигрыша.
Пример: пользователь получает сообщение о выигрыше и переходит по ссылке. На странице ему предлагают ввести данные банковской карты для получения приза. В действительности форма используется для сбора платежных данных и последующего хищения средств.
Ссылки могут быть персонализированными. Адрес может содержать специальный параметр, связанный с конкретным сообщением или получателем. Без него страница выглядит безобидно или вовсе не открывается. В некоторых схемах вредоносный контент показывается только при первом переходе. Такие ограничения затрудняют проверку потенциально опасных ресурсов.
— Перехват поискового трафика
Пользователь видит название известного бренда и переходит по ссылке. Однако вместо официального ресурса открывается сайт конкурента.
— Имитация бренда
При проверке ресурс может показывать пустую страницу или перенаправлять на другой сайт. Если же переход происходит в нужных условиях, открывается версия якобы официального сайта бренда. На деле такой ресурс часто оказывается мошенническим.
Механика клоакинга
Чтобы показывать разный контент, сервер анализирует параметры запроса и историю взаимодействия с ресурсом. По отдельности такие параметры встречаются и на обычных сайтах, но в совокупности они могут использоваться для разделения проверяющих и целевых посетителей.
Среди таких параметров:
- Источник перехода. Сервер учитывает, откуда пользователь пришел на страницу: из поисковой выдачи, рекламного объявления, сообщения или по прямой ссылке.
- Параметры URL. В адресе могут содержаться дополнительные значения, без которых нужная страница не открывается.
- IP-адрес и география. Контент может зависеть от страны, сети или типа подключения посетителя.
- Устройство и браузер. Сервер может по-разному обрабатывать запросы с мобильных устройств, компьютеров и автоматизированных систем.
- История посещений. Учитываются предыдущие переходы, сохраненные данные сессии и время обращения к ресурсу.
В зависимости от настроек злоумышленники могут использовать один признак или сочетать несколько условий. Например, страница открывается только по ссылке из сообщения при первом посещении.
Как проверяют подозрительные ресурсы
При анализе потенциально вредоносного домена специалисты сопоставляют результаты проверок, изучают перенаправления и фиксируют признаки, которые могут указывать на использование клоакинга.
Этапы анализа:
1. Проверка содержимого и поведения URL. Специалисты изучают, что открывается по адресу, какие перенаправления происходят и доступна ли конечная страница.
2. Анализ доменов и связанных ресурсов. Проверяются адреса, на которые ведут перенаправления, а также другие ресурсы, которые могут относиться к той же мошеннической кампании.
3. Сопоставление с другими признаками угрозы. Оцениваются оформление страницы, используемые обозначения бренда, характер запрашиваемых данных и другие признаки фишинга или мошенничества.
4. Фиксация доказательств. Сохраняются сведения о домене, результатах проверки, перенаправлениях и обнаруженном содержимом. Эти материалы помогают подтвердить характер угрозы и подготовить обращение для блокировки ресурса.
Для первичного изучения истории загрузки страницы можно использовать, например, сервис urlscan.io. Если известен URL или IP опасного ресурса, то специалист может просмотреть в сервисе результаты сканирования, сетевые запросы и обнаруженные перенаправления.
BrandSecurity - защищаем бренды от цифровых угроз
Как BrandSecurity работает с клоакингом
При расследовании цифровых угроз аналитики BrandSecurity учитывают, что подозрительный ресурс может показывать разное содержимое в зависимости от условий обращения. Поэтому проверка не ограничивается однократным открытием ссылки.
Эксперты анализируют подозрительные домены, изучают поведение страниц и перенаправления, сопоставляют обнаруженные ресурсы с признаками фишинга и использования бренда. При выявлении признаков клоакинга специалисты фиксируют результаты проверки и собирают доказательства, необходимые для дальнейшей работы с нарушением.
Основатель BrandSecurity
«Анализ связанных доменов помогает выявлять дополнительные ресурсы, которые связаны с одной мошеннической группировкой. Это позволяет расширить охват мониторинга и снизить риск того, что после обнаружения одного сайта связанные с ним угрозы останутся незамеченными»
BrandSecurity объединяет автоматизированный мониторинг с помощью DRP-платформы и проверку экспертами. Такой подход позволяет обрабатывать большой объем ресурсов, быстро выявлять реальные нарушения и добиваться их удаления.
