 描述
敌人目标手机用户与网络钓鱼攻击的目的是征求帐户密码或用户的敏感信息。移动网络钓鱼是网络钓鱼的社会工程学技术的一种变体,是通过一个文本或SMS消息发起攻击,而不是电子邮件。吸引用户来提供信息或访问一个妥协通过这个信息网站。除了发起攻击的方式,攻击收益作为一个标准的网络钓鱼攻击。
替代条款
攻击的可能性
典型的严重性
执行流程
探索
获得恶搞合法网站域名和证书:这个可选的步骤可以帮助对手冒充合法网站更加让人信服。敌人可以使用同形异义字或类似的攻击让用户相信他们正在使用的合法网站。注意,此步骤不需要钓鱼攻击,和许多钓鱼攻击只是供应url包含一个IP地址,没有SSL证书。
| 技术 |
| 可以获得一个域名,视觉上看起来类似于合法网站的域名。一个例子是www.paypaI.com和www.paypal.com(第一个包含一个资本,而不是小写字母L) |
| 可以获得一个合法的新域名的SSL证书。 |
探索合法网站创建重复:敌人创建了一个网站(可选在一个URL看起来类似于原始URL)相似的网站,他们试图模仿。网站通常会有一个登录表单的受害者将他们的身份验证凭证。这里可以在一个主题不同。
| 技术 |
| 使用搜索软件合法网站上复制的网页。 |
| 手动保存副本所需的web页面从合法网站。 |
| 创建新的web页面的合法网站的外观和感觉,但包含全新的内容。 |
利用
让用户输入敏感信息在对手的网站。敌人向受害者发送短信的文字-动作,包括为了说服用户点击链接(需要受害者对手的网站)和日志记录。关键是让受害者相信短信源于一个合法的实体的受害者有业务,网站指出的URL文本消息是合法网站。文字-动作通常会需要良好的合法和紧急从用户足够迅速的行动。
| 技术 |
| 发送用户信息从一个欺骗收手机号码,包括要求用户点击链接。 |
利用偷来的凭证登录合法的网站:一旦对手捕捉一些敏感信息通过网络钓鱼(登录凭证,信用卡信息等)的对手可以利用这些信息。例如,对手可以使用受害者的登录凭证登录到他们的银行账户和转账记账的选择。
先决条件
| 敌人需要手机号码发起与受害者接触。 |
| 敌人需要猜出受害者的实体业务和模仿。大多数时候钓鱼者只使用最流行的银行/服务和发送他们的“钩子”许多潜在的受害者。 |
| 敌人需要足够令人信服的行动呼吁,提示用户采取行动。 |
| 复制网站需要看起来非常类似于原始网站的URL用于获取需要看起来像真正的URL表示业务实体。 |
技能要求
|
(级别:中等) 关于网站的基本知识:获得他们,他们设计和实现等。 |
所需资源
| 移动电话或访问网络资源,允许将短信发送到手机。常规的钓鱼攻击所需的资源。 |
指标
| 你收到一条短信从一个实体,你甚至都没有一个客户提示您登录到您的帐户。 |
| 你收到任何短信,为你提供了一个链接,带你去一个网站,需要您输入您的凭据。 |
后果
 这个表指定不同的个体与攻击模式相关的后果。范围确定违反了安全属性,而影响了负面的技术影响,如果敌人成功的攻击。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能有高可能性模式将被用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
|
保密
访问控制
授权 |
获得特权 |
|
|
保密 |
读取数据 |
|
|
完整性 |
修改数据 |
|
缓解措施
| 不遵循任何链接,你收到短信,不输入任何页面上的登录凭证,他们带你。相反,打电话给你的银行,贝宝,易趣,等等,并询问问题。安全操作还包括利用实体的移动应用程序或浏览器中直接输入实体的URL,然后再登录。没有回复短信,要求你提供任何形式的敏感信息。 |
例子,实例
| 目标将收到一个短信,声明他们的苹果ID被禁用由于可疑活动,他们需要点击链接包含在消息登录他们的苹果账户来启用它。短信中的链接看起来合法的,一旦点击链接,登录页面是一个精确复制苹果的标准登录页面。目标供应他们的登录凭证,然后通知他们的帐户已经被解锁。然而,对手刚刚收集目标的苹果账户信息,现在可以使用各种对手的目的。 |
分类法映射
CAPEC映射ATT&CK技术利用一个继承模型简化和减少直接CAPEC / ATT&CK映射。继承的映射表示文本说明父CAPEC有相关ATT&CK映射。注意,ATT&CK企业框架不使用一个继承模型的一部分映射到CAPEC。
引用
 内容的历史
| 提交 |
| 提交日期 |
提交者 |
组织 |
| 2014-06-23
(版本2.6) |
CAPEC内容团队 |
manbetx客户端首页 |
|
| 修改 |
| 修改日期 |
修饰符 |
组织 |
| 2017-01-09
(版本2.9) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Alternate_Terms |
| 2020-12-17
(版本3.4) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新@Status Alternate_Terms,后果、描述Example_Instances, Execution_Flow,指标,Likelihood_Of_Attack,移植,先决条件,引用,Skills_Required |
| 2022-02-22
(版本3.7) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新的引用 |
| 2023-01-24
(版本3.9) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Related_Weaknesses |
| 以前的条目名称 |
| 改变日期 |
以前的条目名称 |
| 2017-01-09
(版本2.9) |
移动网络钓鱼(又名MobPhishing) |
|
|
描述
此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
内容的历史
