Evilginx: la nuova generazione di phishing — (troppo) efficace e temibile

Nel 2023, quasi un'azienda francese su due (49 %) ha dichiarato di aver subito almeno un attacco informatico «riuscito» negli ultimi 12 mesi, un dato in aumento rispetto al 2022 (45 %). Per il 60 % di esse — il che ne fa la tecnica più usata dagli aggressori — quell'attacco è stato phishing, che si trattasse di spear phishing, smishing o vishing. Questi attacchi non sono privi di conseguenze: furto di informazioni personali o sensibili (credenziali bancarie, log), dirottamento di account o perdite finanziarie.

In un contesto in cui le minacce informatiche evolvono di continuo, gli hacker sviluppano tecniche sempre più sofisticate per compromettere la sicurezza di utenti, aziende e organizzazioni. Tra queste minacce, Evilginx spicca come strumento altamente efficace e temibile, capace di aggirare qualsiasi forma di autenticazione a più fattori (MFA). Molto usato nelle campagne di phishing, Evilginx è diventato uno strumento potente, ed è facile da usare con GottaPhish!

Che cos'è Evilginx?

In breve, Evilginx è uno strumento di phishing avanzato, molto usato nelle campagne di phishing per aggirare la MFA. Funziona come proxy man-in-the-middle (MITM), permettendo agli aggressori di intercettare e manipolare i dati scambiati tra utenti e siti legittimi: credenziali, cookie di sessione e altre informazioni sensibili.

Evilginx è generalmente usato in attacchi noti come Attacker-in-the-Middle (AiTM), una forma avanzata di phishing capace di sconfiggere quei noti schemi di autenticazione a due fattori che dovrebbero proteggerci da qualsiasi accesso non autorizzato online.

Qual è la differenza con il phishing «classico»?

I tentativi di phishing «classici» e quelli condotti con Evilginx sono in effetti diversi.

Nel phishing cosiddetto classico, i criminali informatici riproducono modelli HTML che assomigliano a pagine di login come quelle che usiamo su Outlook, LinkedIn, la nostra banca, ecc., imitandone l'aspetto nel modo più realistico possibile. Il loro obiettivo è indurre la vittima a inserire le proprie credenziali, poi rubate e registrate dagli aggressori.

Con Evilginx, invece di mostrare semplici modelli sosia, il criminale informatico allestisce un sito di phishing che imita alla perfezione un sito legittimo. Quando un utente inserisce le proprie credenziali e il proprio codice di autenticazione a più fattori (MFA), Evilginx intercetta queste informazioni e le inoltra in tempo reale al sito autentico. L'utente viene così reindirizzato al sito vero senza sospettare nulla, mentre l'aggressore ottiene l'accesso all'account nello stesso momento senza essere rilevato.

In un certo senso, Evilginx è un relè tra l'utente ingannato e il sito autentico, il tutto raccogliendo ogni dato scambiato tra le due parti.

Perché l'autenticazione a due fattori non funziona?

Un dettaglio importante: Evilginx intercetta anche i token di sessione generati dopo l'autenticazione. Quando la vittima inserisce le proprie informazioni di accesso e deve fornire il codice a due fattori, riceverà il codice, ma senza sapere che Evilginx è ancora nel mezzo.

Come funziona? A ogni autenticazione a due fattori viene generato un token sotto forma di cookie, e questo cookie viene intercettato da Evilginx e poi salvato. Ed è proprio ciò che permette all'aggressore di aggirare la consueta protezione MFA.

Purtroppo, a questo punto il criminale informatico ha tutto il necessario per accedere agli account della vittima, senza essere mai fermato dall'autenticazione a due fattori.

Per esempio, un aggressore può creare una pagina di login falsa che imita quella di una banca. Quando la vittima inserisce nome utente, password e codice MFA, l'aggressore (usando Evilginx come proxy) inoltra queste informazioni al sito autentico della banca. E una volta riuscita l'autenticazione, l'aggressore intercetta i cookie di sessione, che può poi riutilizzare per impersonare la vittima nei futuri accessi alla banca, anche dopo la verifica dell'autenticazione a due fattori.

Come proteggersi da Evilginx?

È vero che questo proxy malevolo può spaventare perché è quasi invisibile, ma esistono modi semplici per proteggersi.

1. Controllate il dominio del sito web

Ciò che Evilginx non potrà mai fare è avere lo stesso nome di dominio del sito reale. Sarà sempre leggermente diverso, perché gli aggressori devono registrare un proprio dominio, per questo dovreste sempre verificare la legittimità del dominio nella barra degli indirizzi.

Ad esempio, se un aggressore prende di mira LinkedIn, potrebbe registrare un dominio come linkediin.com o llnkedin.com invece di quello vero: linkedin.com.

2. Usate una chiave di sicurezza U2F

Un altro modo per proteggersi è usare una chiave di sicurezza U2F (Universal Second Factor), uno dei metodi più sicuri per l'autenticazione a due fattori. È una chiave di sicurezza fisica per la MFA che fornisce sicurezza aggiuntiva online.

Funziona così: la chiave comunica direttamente con il sito web e, se rileva una differenza tra il nome di dominio nella barra degli indirizzi e quello del sito reale, allora la comunicazione viene interrotta.

3. Formare e sensibilizzare sulle minacce informatiche

Il vero pericolo di Evilginx è che basta un solo dipendente ingannato per compromettere l'intera azienda e tutti i suoi dati riservati. Per questo è molto importante formare i dipendenti e sensibilizzarli sui rischi del phishing per prevenire qualsiasi violazione della sicurezza in azienda.

In GottaPhish offriamo esattamente questo tipo di formazione a scopo di sensibilizzazione, perché crediamo che un gran numero di attacchi informatici potrebbe essere evitato se i dipendenti fossero meglio formati.

Offriamo sia strumenti di phishing per inviare e-mail personalizzate ai dipendenti, sia corsi di formazione brevi e lunghi su piattaforme di e-learning su misura per le esigenze di ciascuno.

Date pure un'occhiata ai nostri strumenti di sensibilizzazione!

Come provare Evilginx con GottaPhish?

Uno degli svantaggi di usare Evilginx da soli è che è uno strumento complesso che richiede molto tempo di preparazione. Allestirlo richiede infatti diversi passaggi tecnici, in particolare la configurazione manuale dei phishlet (moduli specifici progettati per imitare fedelmente i siti bersaglio). Senza queste configurazioni precise, Evilginx non può intercettare efficacemente le credenziali o le sessioni dei siti bersaglio, il che ne fa uno strumento potente ma poco accessibile a un utente inesperto.

Per questo, in GottaPhish vi offriamo il nostro strumento GottaPhish Evilginx: rapido e automatizzato.

Provatelo chiedendoci una demo!