Revelando a industrialização dos ataques de phishing no mundo da encriptação

Desde junho de 2024, a equipe de segurança monitorou um grande número de transações de phishing e roubo de fundos semelhantes. Apenas em junho, o montante envolvido ultrapassou 55 milhões de dólares. Com a chegada de agosto e setembro, as atividades de phishing relacionadas tornaram-se mais frequentes, apresentando uma tendência crescente. No terceiro trimestre de 2024, os ataques de phishing tornaram-se o meio de ataque que causou a maior perda econômica, com os atacantes obtendo mais de 243 milhões de dólares em 65 ações.

A análise indica que os ataques de phishing frequentes recentemente estão provavelmente relacionados à infame equipe de ferramentas de phishing Inferno Drainer. Esta equipe havia anunciado de forma ostensiva sua "aposentadoria" no final de 2023, mas agora parece estar ativa novamente, planejando uma série de ataques em grande escala.

Este artigo irá analisar em profundidade os métodos típicos de operação de gangues de phishing, como o Inferno Drainer, e listar detalhadamente as suas características comportamentais, com o objetivo de ajudar os usuários a melhorar a sua capacidade de reconhecimento e prevenção contra fraudes de phishing.

O surgimento do Scam-as-a-Service

No campo das criptomoedas, um novo padrão de malícia surgiu - Scam-as-a-Service. Este modelo agrupa ferramentas e serviços de fraude, oferecendo-os de forma comercializada a outros criminosos. Inferno Drainer é uma equipe representativa neste domínio. Durante o período em que anunciaram pela primeira vez o encerramento do serviço, de novembro de 2022 a novembro de 2023, o montante total de fraudes ultrapassou 80 milhões de dólares.

O Inferno Drainer ajuda os compradores a lançar ataques rapidamente, fornecendo ferramentas e infraestrutura de phishing prontas, incluindo front-end e back-end de sites de phishing, contratos inteligentes e contas de redes sociais. Os phishers que compram o serviço podem reter a maior parte do dinheiro roubado, enquanto o Inferno Drainer retira uma comissão de 10%-20%. Este modelo reduz consideravelmente a barreira técnica para fraudes, tornando o crime cibernético mais eficiente e escalável, resultando em uma proliferação de ataques de phishing na indústria de encriptação, especialmente entre os usuários que carecem de consciência de segurança, que se tornam alvos mais fáceis.

Mecanismo de funcionamento do golpe como serviço

Antes de entender o conceito de fraude como serviço, vamos primeiro dar uma olhada no fluxo de trabalho típico de uma aplicação descentralizada (DApp). Uma DApp típica é geralmente composta por uma interface front-end (como uma página web ou uma aplicação móvel) e contratos inteligentes na blockchain. Os usuários conectam-se à interface front-end da DApp através de uma carteira de blockchain, a página front-end gera a transação correspondente na blockchain e a envia para a carteira do usuário. O usuário então aprova a transação assinando-a com a carteira de blockchain, e após a assinatura, a transação é enviada para a rede blockchain, chamando o contrato inteligente correspondente para executar a função necessária.

Os atacantes de phishing induzem habilidosamente os usuários a realizarem operações inseguras, projetando interfaces frontais e contratos inteligentes maliciosos. Os atacantes geralmente levam os usuários a clicar em links ou botões maliciosos, enganando-os para aprovar algumas transações maliciosas ocultas, e em alguns casos, até mesmo levando os usuários a revelar suas chaves privadas. Assim que os usuários assinam essas transações maliciosas ou expõem suas chaves privadas, os atacantes podem facilmente transferir os ativos dos usuários para suas próprias contas.

As táticas de phishing comuns incluem:

1. Falsificação de front-end de projetos conhecidos: atacantes imitam cuidadosamente o site oficial de projetos conhecidos, criando uma interface de front-end que parece legítima, fazendo os usuários acreditarem que estão interagindo com um projeto confiável.

2. Esquemas de airdrop de tokens: Promover amplamente nas redes sociais oportunidades extremamente atrativas como "airdrop gratuito", "pré-venda antecipada", "mintagem gratuita de NFT", atraindo vítimas a clicar nos links.

3. Incidentes falsos de hackers e esquemas de recompensas: alegar que um projeto conhecido sofreu um ataque de hackers ou que os ativos estão congelados, e que está a oferecer compensações ou recompensas aos usuários.

Mecanismo de divisão de lucros do Inferno Drainer

No dia 21 de maio de 2024, o Inferno Drainer publicou uma mensagem de verificação de assinatura no etherscan, anunciando o seu retorno e criando um novo canal no Discord.

Após a análise das transações relacionadas ao Inferno Drainer, descobrimos que o seu mecanismo de repartição é o seguinte:

1. Inferno Drainer cria um contrato através do CREATE2. CREATE2 é uma instrução na máquina virtual Ethereum, usada para criar contratos inteligentes. O Inferno Drainer utiliza as características da instrução CREATE2 para calcular antecipadamente o endereço do contrato de divisão de lucros para os compradores do serviço de phishing, e cria o contrato de divisão de lucros apenas depois que a vítima cai na armadilha.

2. Chamar o contrato criado, aprovando os tokens da vítima para o endereço de phishing (comprador do serviço Inferno Drainer) e o endereço de divisão. O atacante, através de vários métodos de phishing, guia a vítima a assinar involuntariamente a mensagem maliciosa Permit2.

3. Transferir a quantidade correspondente de tokens para o endereço de divisão e para o comprador, completando a divisão.

Vale a pena notar que o Inferno Drainer consegue contornar, até certo ponto, algumas funcionalidades de anti-phishing de carteiras, criando contratos antes de dividir o saque. Isso diminui ainda mais a vigilância das vítimas. Em uma transação que observamos, o comprador do serviço de phishing levou 82,5% do lucro, enquanto o Inferno Drainer reteve 17,5%.

Passos simples para criar um site de phishing

Com a ajuda do phishing como serviço, é extremamente simples para um atacante criar um site de phishing:

1. Entre no canal do Telegram fornecido pelo Drainer e use comandos simples para criar um domínio gratuito e o respectivo endereço IP.

2. Escolha um entre centenas de modelos, entre no processo de instalação, e em poucos minutos poderá gerar um site de phishing que parece profissional.

3. Procurar potenciais vítimas. Uma vez que alguém acede ao site e conecta a carteira para aprovar transações maliciosas, os ativos da vítima serão transferidos.

Todo o processo leva apenas alguns minutos, reduzindo significativamente a barreira para a implementação de ataques de phishing.

Sugestões de Segurança

Diante do aumento dos ataques de phishing, os usuários devem manter uma alta vigilância ao participar de transações de encriptação:

• Esteja atento a promoções do tipo "cair do céu", como airdrops ou compensações suspeitas.
• Verifique cuidadosamente a URL do site e esteja atento a domínios que imitam projetos conhecidos. Pode usar a ferramenta de pesquisa WHOIS para verificar a data de registo do site.
• Proteger rigorosamente as informações pessoais, nunca forneça palavras-passe ou chaves privadas a sites suspeitos.
• Antes de aprovar qualquer transação, verifique cuidadosamente se envolve operações de Permit ou Approve que possam resultar em perdas financeiras.
• Fique atento às informações de alerta de segurança, e se detectar autorizações indevidas, revogue ou transfira rapidamente os ativos restantes.