Százszámra található az interneten használatra kész adathalász-készlet. Március elején egy több mint 400 linket tartalmazó lista keringett a különböző levelező-listákon és fórumokon. Némelyik készlet különböző bonyolult parancsállományok összefésüléséből keletkezett, és egyszerre több márkát is képes utánozni, sőt néha még a kételemű felhasználó-azonosító módszereket is meg tudja kerülni. A nagy többség azonban csupán az eredeti webhely archivált és egy kis – az ellopott hitelesítési információkat egy e-mail címre elküldő – PHP-parancsállomány beillesztésével módosított másolata.

Az ötödik helyezett: A helyi képekre való hivatkozás

Az adathalászok néha nem ellenőrzik, hogy minden hivatkozást jól konvertáltak-e. A lustább csak megnézi a lapot a saját rendszerében, hogy jól jelenik-e meg. Sajnos ez a módszer nem mutatja meg, hogy néhány kép, bár jól jelenik meg, de a saját rendszerből töltődik be. Ennek az eredménye egy olyan adathalász webhely, ahonnan képek hiányoznak, viszont néhány információt elárul a támadóról.

Például:...img src=“file:///F:/Documents%20and%20Settings/doneminem***/Desktop/cgi-bin/formsloginb_files/fine_privati.gif...

A negyedik helyre került: az ún. „Saved from” (Innen mentett) linkek

Néhány eszköz, például az Internet Explorer a lap elmentésekor a webhelyet is hozzáteszi. Ez jó emlékeztető arra, hogy honnan is lett letöltve. Magától értetődik, hogy az ilyen „saved from” linkek egy adathalász webhelyen holtbiztosan utalnak a weblap csaló jellegére, és még a csaló weblap-magángyűjteményét is felfedhetik.

Például:...saved from url=(0055)http://163.XXX.YYY.ZZ/cloz/paypal/accountprocessing...

A harmadik helyre a rosszindulatú kóddal fertőzött adathalászkészletek kerültek

Aki a tűzzel játszik, könnyen megégeti magát, így aztán az adathalászat is kozmás egy kicsit. Az adathalászok gyakran kikapcsolják a vírusirtót a saját rendszerükben (már ha egyáltalán telepítettek ilyet), hiszen nem akarják, hogy legújabb teremtményük rögtön az örök bitvadászmezőkre kerüljön. Ez persze azt jelenti, hogy tudniuk kell, mit tesznek, hiszen a máshonnan származó veszélyek lesben állnak. Így aztán nem meglepő, hogy gyakran látunk fertőzött csaló HTML fájlokat vagy nemkívánatos kártevőt tartalmazó adathalászkészletet. Egy francia PayPal adathalászkészlet például a saját magát az adott könyvtár neve+.exe néven különböző könyvtárakba másoló W32.Rontokbro@mm család egyik változatával volt fertőzött. Persze azt is felmerülhet, hogy ez szándékos volt, de egy fertőzött adathalász webhely nem marad sokáig észrevétlen.

A második: a Google Analytics és a reklámcsíkok

Ha az adathalász egy eredeti webhelyet másol, általában mindent eltávolít, ami nem igazán szükséges azon, és ami elárulhatná a helyét, így a helyben tükrözött képeket is. Néhány támadó azonban teljesen valószerűvé akarja tenni művét (vagy csak nem gondol bele a dolgokba), és az összes reklámcsíkra mutató linket benne hagyja. Így aztán az átverés áldozatául esett cég még egy kis pénzhez is juthat a megjelenített reklámokból. Egyik-másik adathalász még a Google Analytics linkjeit is ott hagyja a weboldalon, így aztán a valódi cég később kielemezheti, honnan is kerültek az emberek a csaló webhelyre, és mennyire volt hatékony az átverés.

Az első hely pedig: a meggyőző hátsó ajtóké

A bevetésre kész adathalászkészletek igen nagy részének hátsó bejárata van. Ez azt jelenti, hogy a parancsállomány az összes begyűjtött hitelesítési információt egy másik, rejtett e-mail címre is elküldi. Így aztán adathalászok halásszák le az adathalászok fogását. Némely programozó megpróbálja igazán jól elrejteni a hátsó ajtót, például képnek álcázza, vagy JavaScripttel kavarja meg a kódot. A legfurcsább hátsó ajtó, amivel mostanában találkoztunk, egy base64-kódolású parancs volt, ami a dekódoláskor egy tömböt hozott létre, amelyet egy későbbi használatra szánt e-mail cím létrehozására használtak. A szerző megpróbálta meggyőzni az új adathalászt arról, hogy ne távolítsa el ezt a hátsó ajtót, mondván: „ez hasznára lesz az átverésnél”. De lehet-e hinni egy csaló szavának? Nem valószínű…