详细内容或原文请订阅后点击阅览
小心你的愿望 – PWA 应用程序中的网络钓鱼
ESET 分析师剖析了一种针对 Android 和 iOS 用户量身定制的新型网络钓鱼方法
来源:WeLiveSecurity _恶意软件在此博客文章中，我们讨论了针对移动用户的一种罕见类型的网络钓鱼活动，并分析了我们在野外观察到的案例，该案例针对杰出的捷克银行的客户。该技术值得注意，因为它在第三方网站上安装了网络钓鱼应用程序，而无需用户允许安装第三方应用程序。对于iOS用户来说，这样的动作可能会破坏有关安全性的任何“围墙花园”假设。在Android上，这可能会导致一种特殊的APK安装，该APK甚至在进一步的检查中似乎是从Google Play商店安装的。
针对iOS的网络钓鱼网站指示受害者在其家庭屏幕上添加渐进式Web应用程序（PWA），而在Android上，PWA是在确认浏览器中的自定义弹出窗口后安装的。在这一点上，在两个操作系统上，这些网络钓鱼应用在很大程度上与它们模仿的实际银行应用程序没有区别。 PWAS本质上是网站捆绑到了独立应用程序中，这种感觉通过使用本机系统提示而增强了这种感觉。 PWA和网站一样，也是跨平台，解释了这些PWA网络钓鱼活动如何针对iOS和Android用户。
该技术首先由CSIRT KNF于2023年7月在波兰披露，并于2023年11月由在捷赛中观察到的ESET分析师在捷赛中工作。我们还观察到了两起针对捷克以外的银行的移动运动案件：一个针对匈牙利OTP银行的案件，另一个针对格鲁吉亚银行的案件。
csirt knf 品牌情报服务博客文章的要点：