PhishLumos cartographie l'infrastructure de phishing et découvre 190 000 URL en six mois.
infohightech ·
Des chercheurs de l'Université métropolitaine de Tokyo ont mis au point une nouvelle méthode pour identifier les campagnes d'hameçonnage en ligne. Leur système, PhishLumos, se déclenche lorsque des liens présentent des signes de dissimulation d'informations et recherche des indices dans l'infrastructure du site web afin de démanteler l'ensemble de la campagne, dont le site ne constitue qu'une infime partie. Des tests en conditions réelles ont démontré une détection huit jours plus rapide que celle d'un expert, avec 190 000 URL détectées en six mois.
L’hameçonnage est une forme répandue de cybercriminalité. Les criminels usurpent l’identité d’entités de confiance, comme des banques ou des employeurs, pour inciter leurs victimes à partager des informations sensibles, à cliquer sur des liens malveillants ou à installer des logiciels dangereux. Les personnes les moins à l’aise avec le numérique sont particulièrement vulnérables, ce qui non seulement creuse le fossé numérique , mais érode également la confiance dans les institutions numériques essentielles.
C’est pourquoi les chercheurs s’efforcent de trouver des moyens de contrer les campagnes d’hameçonnage. Cependant, ils se heurtent à des obstacles de taille. Par exemple, la plupart des approches existantes consistent à analyser individuellement les liens suspects sur le Web, ou URL (Uniform Resource Locators). Bien que l’apprentissage automatique et l’apprentissage profond aient permis de développer des programmes de plus en plus sophistiqués capables d’évaluer la véracité du contenu, les cybercriminels peuvent généralement générer beaucoup plus de liens malveillants dans le même laps de temps qu’il leur faut pour identifier et fermer un seul site.
La génération de contenu malveillant devient également plus sophistiquée ; les technologies de dissimulation permettent de tromper les systèmes d’analyse, ce qui permet à un plus grand nombre de contenus malveillants d’atteindre des victimes potentielles.
Aujourd'hui, les chercheurs s'orientent vers un changement de paradigme. Dans des travaux récents, une équipe dirigée par le professeur associé Daiki Chiba de l'Université métropolitaine de Tokyo a adopté une nouvelle approche. Plutôt que de qualifier des liens isolés de sûrs ou de malveillants, les chercheurs recherchent des signes de dissimulation comme point de départ d'une enquête automatisée complète visant à identifier l'ensemble de la campagne d'hameçonnage associée à un acteur malveillant.
Leur système, PhishLumos, n'est pas contourné par le contenu dissimulé, mais au contraire déclenché par celui-ci. Une fois activé, il recherche des indices dans l'« infrastructure » de l'URL, comme les adresses IP et les connexions réseau utilisées. Ces informations permettent de cartographier l'ensemble de la campagne d'URL impliquées dans une même opération de phishing, non pas comme une simple liste d'URL, mais comme un graphe de type « base de connaissances » (KB) décrivant le fonctionnement de la campagne.
En analysant 103 campagnes de phishing réelles, PhishLumos a détecté les attaques huit jours plus rapidement que les experts en moyenne. Lors de tests en conditions réelles, à partir de 600 URL initiales, les règles qu'il a identifiées ont permis de découvrir plus de 190 000 nouveaux liens, dont 92 % ont ensuite été signalés comme malveillants. Surtout, il a largement surpassé les approches dites « axées sur le contenu », qui analysent le contenu des sites web plutôt que leur infrastructure.
Les services en ligne sont déjà devenus indispensables à la société moderne ; les personnes mal intentionnées peuvent donc causer des dommages considérables et irréparables. Des projets comme PhishLumos sont essentiels pour garantir que les avantages des nouvelles technologies de l’information profitent à tous de manière sûre et équitable.