Metodologia di riconoscimento automatico di tecniche di web cloaking = Methodology for automatic recognition of web cloaking techniques

Metodologia di riconoscimento automatico di tecniche di web cloaking Ogni giorno vengono pubblicate online centinaia di pagine di phishing dalla variabile complessità. Per cercare di renderle il meno individuabili possibili agli enti di sicurezza e ai loro web crawlers, molti phishing kits implementano al loro interno diverse tecniche di cloaking, ovvero contromisure utili ad oscurare i contenuti malevoli. L’obiettivo della tesi consiste nel proporre una metodologia utile all’individuazione delle tecniche di cloaking presenti all’interno dei siti malevoli e nella determinazione dei migliori framework possibili per l’assemblamento di un web crawler adatto allo scopo. Nel fare ciò verrà anche individuato il set di features di un browser web il più ottimizzato possibile, fine a individuare con successo la presenza delle tecniche di evasione. Per raggiungere tale obiettivo, sono stati analizzati siti di phishing prelevati da diversi databases pubblici, come quelli offerti da Phishtank. OpenPhish e Phishunt. È stato scelto tale approccio per evitare la ricerca manuale di siti di phishing o phishing kits rilevanti. Per la creazione del web crawler sono stati presi in considerazione e messi a confronto diversi frameworks e loro estensioni, ovvero Selenium, Puppeteer, plugin Stealth di Puppeteer, FakeBrowser ed Hero. Per l’individuazione delle tecniche di cloaking, invece, la metodologia usata consiste nella scansione del sito web sospetto attraverso l’uso di due diversi profili: il migliore browser web possibile (assumendo per ipotesi iniziale che fosse FakeBrowser), e il peggiore browser web possibile (Puppeteer standard, con diversi artefatti e features disabilitate). Una volta raccolti i dati, entrambe le versioni sono state messe a confronto e classificate mediante l’uso della combinazione di diverse metriche. In base ai risultati raccolti, si può concludere che frameworks come FakeBrowser, Puppeteer con il plugin Stealth ed Hero svolgano un buon lavoro nel cercare di essere riconosciuti il meno possibile. Frameworks come Puppeteer standard e Selenium e funzionalità come la headless mode, invece, sarebbero da evitare a causa della presenza di numerosi artefatti esposti al sito web visitato. In ultimo, è stata constatata un’alta percentuale di siti web di phishing che fanno uso di codici CAPTCHA o di servizi anti-bot come Cloudflare, Imunify360 e WebProtect offerti dai servizi di hosting.