據(jù)Menlo Security日前發(fā)布的《2023年瀏覽器安全狀況報告》，針對瀏覽器的高度規(guī)避自適應(yīng)威脅（HEAT）呈現(xiàn)激增的發(fā)展趨勢。安全研究人員發(fā)現(xiàn)，與上半年相比，2023 年下半年基于瀏覽器的網(wǎng)絡(luò)釣魚攻擊增加了198%，相應(yīng)的規(guī)避攻擊增長了206％。

報告顯示，旨在規(guī)避傳統(tǒng)安全控制的規(guī)避攻擊現(xiàn)占所有基于瀏覽器的網(wǎng)絡(luò)釣魚攻擊的30％。這些復(fù)雜的策略包括短信釣魚、中間人攻擊（AITM）框架、基于圖像的網(wǎng)絡(luò)釣魚、品牌冒充以及多因素身份驗(yàn)證（MFA）繞過。

Menlo Security的首席執(zhí)行官Amir Ben-Efraim表示：“人類仍然是網(wǎng)絡(luò)安全鏈中最薄弱的環(huán)節(jié)，無意中泄露了企業(yè)憑據(jù)和機(jī)密信息，而威脅行為者則明確將焦點(diǎn)轉(zhuǎn)向了作為初始入口的網(wǎng)絡(luò)瀏覽器?！?/span>

隨著瀏覽器在托管和非托管設(shè)備上的使用率持續(xù)飆升，傳統(tǒng)的基于網(wǎng)絡(luò)的安全控制也難以檢測到零時網(wǎng)絡(luò)釣魚攻擊。

對此，Menlo Labs威脅研究部門說到，在30天的時間內(nèi)，他們發(fā)現(xiàn)了超過11,000次零時網(wǎng)絡(luò)釣魚攻擊。值得注意的是，75％的網(wǎng)絡(luò)釣魚鏈接托管在聲譽(yù)良好的網(wǎng)站上。此外，自2022年以來，傳統(tǒng)信譽(yù)URL規(guī)避（LURE）攻擊增加了70％，并且在檢測到零時網(wǎng)絡(luò)釣魚攻擊方面存在6天的延遲。

Menlo Security的首席信息安全官Devin Ertel表示：“規(guī)避技術(shù)經(jīng)過精心制作，可以在雷達(dá)下飛行，安全團(tuán)隊很難發(fā)現(xiàn)。不幸的是，現(xiàn)代的安全工具（如SWG和終端安全）無法阻止攻擊者繞過這些保護(hù)措施。然而，我們的研究發(fā)現(xiàn)，即使這些攻擊展示了復(fù)雜的規(guī)避手段，瀏覽器安全仍然能夠阻止這些零時網(wǎng)絡(luò)釣魚攻擊。組織必須通過利用各種基于人工智能的方法（包括對象檢測、URL 風(fēng)險評估和網(wǎng)頁元素分析）來采取有針對性的瀏覽器安全方法，以應(yīng)對當(dāng)今規(guī)避性的網(wǎng)絡(luò)威脅?！?/span>

參考鏈接：
https://www.infosecurity-magazine.com/news/phishing-grew-198-last-year/