自动网络钓鱼攻击的工具出现了什么意味着什么？

网络钓鱼一直被认为是最简单的网络犯罪类型之一。近年来，网络钓鱼工具包和模板已经使欺骗受害者的任务变得更容易放弃他们的用户名和密码。尽管如此，所述工具包从未真正实现过即插即用。到现在为止，似乎。

随着人们对在线威胁变得更加警惕，诈骗者也必须在他们的创作中投入更多精力。使用传统的网络钓鱼工具包，在部署页面之前，网络钓鱼者必须进行大量配置。伪造的登录页面需要比以往更有说服力，并且需要受到SSL证书的保护。更重要的是，诈骗者需要确保在正确记录之前检查被盗凭证，如果他们真的想要成功，他们应该找到一种打败双因素身份验证（2FA）的方法。由于在年初发布的新工具，许多这些家务活都可以消除。

认识Modinalka，最终的网络钓鱼工具

Modlishka是Mantis的波兰语单词（或者至少是它的英语发音）。它也是渗透测试员PiotrDuszyński开发的新型网络钓鱼工具的名称。

使用Modlishka，启动网络钓鱼活动可以像设置域和运行一些命令一样简单。本质上，该工具充当反向代理，位于用户和他们认为正在访问的网站之间。网络钓鱼者不需要创建或设置任何虚假页面，因为Modlishka基本上向受害者提供原始登录表单。使用正确的凭据，用户可以像往常一样登录并继续他们的业务。然而，他们并不知道，所有流量都通过Modlishka，这意味着用户名，密码和其他细节会立即暴露出来。

即使2FA也不匹配Modlishka

双因素身份验证是传统网络钓鱼的大敌。 我们相信 ，它的目的是确保骗子不会仅使用您的登录凭据侵入您的帐户。在大多数情况下，它的工作做得很好，但如果涉及Modlishka，它的大多数传统形式都是无用的。再次，这是因为受害者通过反向代理发送2FA代码，并且网络钓鱼者实时获取它们。

无论代码是通过短信发送还是由应用生成，都可能被盗。不受Modlishka影响的唯一2FA形式是U2F 。

你怎么能避免成为Modlishka的受害者？

像Modlishka一样聪明，如果你足够小心，它就无法欺骗你。为了工作，它需要托管在域上，并且该域永远不会与合法网站的域相同。因此，就像常规网络钓鱼一样，避免Modlishka取决于您的勤奋。请务必仔细检查浏览器地址栏中的网址，避免点击您不确定的链接. 这里的关键不在于骗局，因为如果你这样做，就没有什么可以告诉你骗子窃取了你的登录数据。

出版Modlishka是一个有争议的举动

作为一名渗透测试员，PiotrDuszyński的工作是确保组织和用户对网络攻击更具弹性。他的大多数工作都围绕着模拟，而他创造这个工具的事实并不令人惊讶。然而，他让每个人都可以访问的事实有点令人费解。

Modlishka可以从GitHub下载，如果您不知道如何使用它，Duszyński已经通过易于遵循的说明进行了装饰。现在，即使是最不称职的脚本小子（对于那些没有技巧和想要在互联网上打破东西的想要的网络犯罪分子的行话术语）也可以采用一种非常强大的网络钓鱼工具并用它来造成相当大的破坏。为什么Duszyński将Modlishka公之于众？

他告诉ZDNet ，如果没有一个工作工具，每个人都可以自己测试，这个概念将被视为理论，而Modlishka则提高了对基于代码的2FA系统不安全性的认识。我们会让你自己决定这是否是一个足够好的理由。