Spiderman Phishing Kit

Spiderman Phishing Kitというものが確認されています。
また悪事を実施する脅威アクター自身による脅威を実現するコードの作成という方向ではなく、悪意あるコードを作る人が悪意ある活動を実施する人に悪意あるコードを渡す流れの話です。
悪事を実施する攻撃者は、ヨーロッパの銀行やオンライン金融サービスプロバイダーの顧客を標的とした広範な攻撃ネットワークを容易に構築することができるようになります。
Spiderman Phishing Kitとは、どういったものなのでしょうか。

• Spiderman Phishing Kit＝フィッシングフレームワーク
  Spiderman Phishing Kitは、数十もの欧州の銀行ログインページ、さらには一部の政府機関ポータルを模倣したフルスタックのフィッシングフレームワークです。
  特定の銀行向けや特定の国の中にあるいくつかの金融機関を対象にした同様のものはいくつもの例がありますが、Spidermanは複数の欧州金融ブランドを1つのキットに統合し、国境を越えた大規模な攻撃を可能にします。
  ドイツ銀行、コマーツ銀行、ING（ドイツとベルギー）、CaixaBank、そして複数の暗号資産ウォレットプロバイダー向けのモジュールまでもが含まれています。
• 顧客が多数
  このキットの提供者は、利用者（というか脅威アクターです）向けにユーザーコミュニティを提供しています。
  実際にこのキットを購入して利用中なのかは定かではありませんが、そのユーザーコミュニティには約750人が参加しています。
  ユーザーコミュニティでは活発な活動がみられます。
• 検出回避機能
  このキットには、検出回避のための機構が搭載されています。
  実装された国別ホワイトリスト、ISPホワイトリスト、ジオブロッキング、デバイスフィルタリング、カスタムリダイレクトコントロール（研究者回避）といった機能を利用することによりこれを実現します。
• ワンタイムパスワードの取得機能
  金融機関のウェブサイトを利用する際にワンタイムパスワードが利用されるケースは良くあります。
  このキットにはワンタイムパスワードの取得機能が含まれています。
  ワンタイムパスワードの機構を含むから安全に利用できると期待するのは幻想となってしまっているかもしれません。
• シードフレーズキャプチャ機能
  ワンタイムパスワードと同じようなポジションで利用されるものに、暗号資産のシードフレーズというものがあります。
  暗号資産のシードフレーズは、ウォレットの秘密鍵を復元するための12〜24個の英単語のリストで、ウォレットの「マスターキー」です。
  ウォレット作成時に生成され、デバイス紛失・故障時に資産を取り戻すために不可欠ですが、漏洩すると資産を盗まれるため、紙などに書き写し、絶対にオンラインに保存せず、厳重にオフライン保管することが極めて重要です。
  このシードフレーズを取得できてしまう機能が搭載されています。
• モジュール機能
  キットは、モジュール機能を搭載しています。
  現時点でもすでにカバー範囲が広く機能も豊富なのですが、これを拡張することが容易になる機能も搭載しているということになります。

Spiderman Phishing Kitを使用する攻撃者は、なりすましたい銀行またはサービスを選択し、「この銀行をインデックス」をクリックすると、キットによってログイン、パスワード、PhotoTAN/2FAプロンプト、クレジットカード入力フォームを含むフィッシングページのクローンが自動的に作成されます。
実に簡単です。
悪意ある行動を実施する以外の部分がすでに完成した状態で入手することができてしまうのです。
Spiderman Phishing Kitを使用する攻撃の入り口部分は、フィッシングメールであることが想定されます。
人間部分の脆弱性が悪用されないように、注意することが必要です。

Spiderman Phishing Kit Mimics Top European Banks With A Few Clicks
https://www.varonis.com/blog/spiderman-phishing-kit