Analyse de similarité de kits de phishing en PHP, HTML et JavaScript

Le phishing est une menace qui demeure active et en pleine croissance. Avec la pandémie de la COVID-19, l'année 2020 a vu un pic avec plus de 200 000 attaques signalées. Les attaquants déploient typiquement du code source sur un serveur de site web pour usurper une marque, ou imiter une situation dans laquelle il est attendu de l'utilisateur de renseigner des informations personnelles que les attaquants convoitent (comme des identifiants, numéros de carte de crédit, etc.). Les kits de phishing sont un ensemble de fichiers prêts à être déployés, qui peuvent simplement être copiés sur un serveur web et être quasiment utilisés tels quels. Les attaques de phishing sont un sujet qui a été largement exploré sous l'angle de la contre- mesure, avec la détection de spam dans les courriels, ou l'identification de sites web de phishing. Cependant, peu d'études se focalisent sur le code source côté serveur des kits de phishing, en partie à cause de sa difficulté d'accès. Dans ce travail, on considère l'analyse statique de la similarité du code source PHP, JS, HTML de 20 871 kits de phishing, totalisant plus de 180 millions de lignes de code. Ces kits ont été collectés pendant des attaques de phishing par des équipes de sécurité informatique. L'approche proposée peut aider à classer des kits collectés comme étant des « proches co- pies » ou « sauts intellectuels » de kits connus et déjà rencontrés. Cela pourrait faciliter l'identification et classification des nouveaux kits comme des variants de kits plus anciens et connus, et ainsi aider à rationaliser les efforts de contre-mesure.