谷歌AMP：最新的逃逸型网络钓鱼战术
我要评论最近，谷歌一种利用谷歌加速移动页面（AMP）的新的型网新型网络钓鱼策略已经进入威胁领域 ，并被证明在达到预定目标方面非常成功 。逃逸谷歌AMP是络钓由谷歌和30个合作伙伴共同开发的一个开源的HTML框架，旨在加快网页内容在移动设备上的鱼战加载速度 。
反钓鱼保护公司Confense分析发现，谷歌这些活动所涉的新的型网网站托管在Google.com或Google.co. uk上 ，这两个都被大多数用户认为是逃逸可信的高防服务器域 。这种网络钓鱼活动不仅使用Google AMP URL来规避检测 ，络钓而且还结合了其他许多已知可以成功绕过电子邮件安全基础设施的鱼战战术、技术和程序（TTPs）。谷歌
Google AMP是一个Web组件框架 ，服务器租用允许用户创建针对移动设备进行优化的网页 。谷歌允许每个网页在谷歌搜索中可见，并可以使用谷歌AMP缓存和谷歌分析 ，这两种工具都为用户提供了额外的功能来跟踪其他用户在AMP页面上的互动。Google AMP提供的另一个特性是 ，网页最初托管在Google AMP URL上 ，如图1中的示例所示 。这意味着每个URL都托管在https://www.google.com/amp/s/或https://www.google.co.uk/amp/s/上 。在下面的示例中，源码下载URL的左半部分是合法的Google AMP路径 ，右半部分是Google AMP用户设置的网页。要访问该URL ，用户可以直接访问网页链接，也可以通过该URL的扩展版本访问网页链接 。
【图1 ：Google AMP URL示例】
谷歌AMP吸引合法用户的功能也可能吸引试图出于恶意目的而使用它的威胁行为者 。网络钓鱼威胁行为者已经在其网络钓鱼邮件中使用Google AMP URL路径来托管恶意网页 ，云计算以试图窃取电子邮件登录凭据 。对于电子邮件安全基础设施来说，通常很难检测到这种电子邮件的恶意属性 ，因为这些URL托管在合法的Google域上 。Google分析的加入还为威胁行为者提供了一种跟踪其网络钓鱼页面内用户交互的方法 。图2显示了一个使用Google AMP托管的网络钓鱼URL的真实示例。Google AMP URL的行为非常类似于重定向 ，将用户从初始URL重定向到路径中找到的URL——在本例中 ，即托管在域netbitsfibra[.]com上的URL。
【图2 ：到达预期目标的真实Google AMP网络钓鱼示例】
监控数据在监控网络钓鱼活动时 ，重要的是要关注那些重要的活动 。在到达预定目标之前被阻止的网络钓鱼URL不会构成威胁 。在这次活动中 ，Google AMP URL被证明非常成功地接触到了受安全电子邮件网关（SEG）保护的用户 。图3显示了Cofense每周在预期目标收件箱中观察到的包含Google AMP链接的网络钓鱼电子邮件的数量 。由于各种原因 ，这些电子邮件已被证明能够成功地到达他们的预期目标 ，其主要目的是窃取员工的电子邮件登录凭据 。
【图3：每周滥用Google AMP的网络钓鱼邮件数量】
滥用谷歌AMP服务的网络钓鱼活动在5月份开始出现 ，此后一直没有消失 。总的来说 ，交易量在最近几周急剧波动 ，5月29日和7月10日这一周，这种策略达到了新的高度 。在6月15日 ，研究人员发现策略上发生了一些变化 ，包括在Google AMP URL中使用Google.co.uk。虽然整体策略保持不变，但新的URL托管在谷歌的英国顶级域名上 。
Cofense数据显示，在观察到的所有Google AMP URL中 ，大约77%托管在域名google.com上 ，23%托管在域名Google .co.uk上 。URL路径是这种网络钓鱼活动的一个很好的指标 ，但由于合法使用 ，很难完全阻止“google.com/amp/s/”。建议组织在完全阻止用户之前 ，讨论此路径的合法用途。尽管阻塞路径可能很困难 ，但这可能是用它标记URL的好机会。
【图4 ：使用Google AMP的网络钓鱼邮件所用域名的比较结果】
威胁行为者将最新战术与其他可行TTP结合起来事实证明 ，谷歌AMP网络钓鱼活动的成功率极高 。这可能得益于每个URL所托管的Google域的可信状态和合法性 。虽然这个理由可能是充分的，但使用这种新策略的威胁行为者也结合了其他已知的可靠方法，以进一步规避网络钓鱼电子邮件检测 。研究人员在使用Google AMP URL作为网络钓鱼邮件内嵌入链接的各种网络钓鱼邮件中 ，观察到以下TTP ：
可信域 ：Google AMP策略是有效的，因为它结合了在可信域中托管URL和从Google AMP URL到网络钓鱼站点的重定向过程 。可信域使自动分析变得困难 ，因为用户不能简单地直接阻止恶意URL的合法部分 。基于图像的网络钓鱼电子邮件：研究人员观察到的一些电子邮件是基于图像的网络钓鱼电子邮件 。这意味着电子邮件不包含传统的电子邮件正文 ，而是包含HTML图像 。与基于文本的电子邮件相比，这种性质的电子邮件更难检测 。这是由于图像在电子邮件的标题中增加了更多的噪音 ，可以混淆扫描电子邮件文本的安全解决方案 。图5所示的是在使用Google AMP URL的用户收件箱中发现的网络钓鱼电子邮件 。整个图像是可点击的 ，并引导用户进入网络钓鱼攻击的下一步 。这些电子邮件背后的诱饵各不相同 ，但主要是电子邮件通知、请求 、提醒 、共享文件或与财务相关的邮件 。
【图5 ：使用带有可点击HTML图像的Google AMP网络钓鱼电子邮件示例】
URL重定向 ：URL重定向已经成为一种越来越流行的反电子邮件分析方法 。在单个网络钓鱼攻击链中有多个重定向（而非单个恶意URL）会使分析变得更加困难 。图6中的示例取自用户的收件箱 ，它是在网络钓鱼电子邮件中使用可信域和URL重定向作为TTP的一个完美示例 。重定向不仅重定向到Google AMP域 ，而且还托管在com上 ，这是另一个受信任的域 ，为钓鱼活动增加了一层虚假的合法性 。
【图6 ：利用Microsoft域重定向到Google AMP网络钓鱼站点的钓鱼URL】
Cloudflare CAPTCHA ：滥用Cloudflare的CAPTCHA服务已经成为一种流行的反分析策略 。Cloudflare是一个合法的域名安全服务 ，用于保护网站免受机器人或其他自动访问者的侵害 。这已被证明是规避电子邮件安全的一种非常有效的策略 ，因为CAPTCHA通常出现在任何实际的恶意URL之前 。使用CAPTCHA需要手动用户出现才能到达初始重定向或感染链中的最终恶意URL 。Cloudflare服务还允许通过IP过滤阻止某些地理位置 ，IP代理服务允许威胁行为者隐藏域的原始托管提供商 。
【图7 ：从Google AMP网络钓鱼活动中提取的Cloudflare CAPTCHA示例】
原文链接 ：https://cofense.com/blog/google-amp-the-newest-of-evasive-phishing-tactic/
相关文章
快餐业巨头麦当劳指出，导致其全球数千家连锁店和加盟店系统宕机的原因，是第三方供应商在系统配置更改过程中的失误。上周五，在全球麦当劳员工和顾客通过社交媒体发布有关系统中断的消息数小时后，麦当劳在一份更新2025-12-07
win10任务视图记录可以看到用户使用的活动历时记录，可以更快的帮助用户办公或者游戏，轻松的切换找到之前进行的步骤，但是很多用户不知道关闭和打开的，下面来一起看看详细教程吧。win10任务视图记录怎么2025-12-07
很多用户们在使用win10系统去玩游戏CF的时候，发现自己的游戏不能全屏玩耍，有时就只有中间显示，屏幕两边黑黑的，无法正常的玩法游戏，那么这个问题怎么去解决呢，快来看看详细的解决教程吧~win10cf2025-12-07
我们在使用win10操作系统的时候，有的小伙伴在想win10的系统是多少位的。那么据小编所知win10操作系统有32位和64位两种。位数的查看方式可以在电脑的属性中进行查看。详细步骤就来看下小编是怎么2025-12-07
Bleeping Computer 网站消息，美国佐治亚理工学院的研究人员公布了一种针对苹果 M 系列和 A 系列芯片进行侧信道攻击的方法，并将其命名为iLeakage，利用该攻击方法可以从 Safa2025-12-07
在经历了微软操作系统的更新换代win7、win8、win10三个操作系统之后，不妨聊一下这三个系统的区别吧。小编觉得，从年份上来说，win7是发布时间最久的，所以也是兼容性最为稳定的一个系统。而win2025-12-07
最新评论