Robin Banks切换到DDoS-Guard

• Cloudflare 将 Robin Banks网络钓鱼基础设施与其服务分离，导致运营中断多日。
• Robin Banks 推出了一项新的 cookie 窃取功能，网络犯罪分子可以将其作为网络钓鱼工具包的附件购买，以绕过多因素身份验证。
• Robin Banks 网络钓鱼工具包在很大程度上依赖于开源代码和现成的工具，这是降低进入壁垒以进行网络钓鱼攻击的主要示例。

---

IronNet的网络安全研究人员宣布，Robin Banks 集团将其基础设施迁移到了臭名昭著的俄罗斯供应商DDoS -Guard，并将其功能更改为更具规避性。Robin Banks 是一个网络钓鱼即服务 (PhaaS) 平台，最初由 IronNet 于 2022 年 7 月报告。IronNet 最初发现 Robin Banks 导致Cloudflare将该域标记为恶意域，从而中断了其运营。

网络钓鱼即服务

在 Cloudflare 决定解除 Robin Banks 的关联后，该组织经历了持续三天的中断。现在，该组织将其前端和后端基础设施迁移到 DDoS-Guard，这是一家以托管网络钓鱼网站和网络犯罪分子内容而闻名的俄罗斯提供商。

Robin Banks 还加强了平台的安全性，例如为套件客户查看钓鱼信息的两因素身份验证。但是，用户可以选择通过 Telegram 机器人获取网络钓鱼信息。

Robin Banks 还购买了多个域名，包括ironnet[.]click和ironpages[.]club。我ronnet[.]clic k 作为对 IronNet 最初博客的回应。这些域用于托管网络钓鱼工具包内容。自最初的报告以来，Robin Banks 还引入了一项新功能，通过窃取登录会话 cookie 来绕过 2FA。它是开源工具 evilginx2 的更新版本，在网络犯罪分子中很流行。Robin Banks 以每月 1,500 美元的价格宣传该套件的这一功能。铁网说，

« Robin Banks 对开源代码和现成工具的严重依赖表明，进入门槛有多低，不仅可以进行网络钓鱼攻击，还可以成为服务提供商并为其他人创建 PhaaS 平台使用。创建这样的套件并收取数百到数千美元供其他人使用它并不需要很高的复杂性。因此，越来越多地使用不同的网络工具来托管网络犯罪平台引起了人们的关注，因为网络犯罪变得更容易获得，并且是一种快速获利的省力选择。»