Раскрытие индустриализации фишинга в мире шифрования

С июня 2024 года команда безопасности зафиксировала большое количество подобных фишинговых и краж денежных средств. Только в июне сумма, по всей видимости, превышала 55 миллионов долларов США. В августе и сентябре соответствующая фишинговая активность стала более частой, и наблюдается нарастающая тенденция. В третьем квартале 2024 года фишинговые атаки стали наиболее убыточным методом нападения, злоумышленники получили более 243 миллионов долларов США за 65 действий.

Анализ показывает, что недавние частые фишинговые атаки, вероятно, связаны с печально известной фишинговой группой Inferno Drainer. Эта группа громко объявила о "выходе на пенсию" в конце 2023 года, но теперь, похоже, снова активна и планирует серию масштабных атак.

В данной статье будет глубоко проанализирован типичный modus operandi таких групп, как Inferno Drainer, и подробно перечислены их поведенческие характеристики, с целью помочь пользователям повысить осведомленность о распознавании и предотвращении мошенничества в интернете.

Восхождение мошенничества как услуги (Scam-as-a-Service)

В сфере шифрования возникла новая вредоносная модель - мошенничество как услуга (Scam-as-a-Service). Эта модель упаковывает инструменты и услуги для мошенничества и предлагает их другим преступникам в товарном виде. Inferno Drainer является代表ативной командой в этой области. В период с ноября 2022 года по ноябрь 2023 года они впервые объявили о закрытии услуг,累计 мошенническая сумма превысила 80 миллионов долларов.

Inferno Drainer помогает покупателям быстро инициировать атаки, предоставляя готовые инструменты и инфраструктуру для фишинга, включая фронт и бэкэнд фишинг-сайтов, смарт-контракты и аккаунты в социальных сетях. Фишеры, покупающие услуги, могут оставить большую часть похищенных средств, в то время как Inferno Drainer берет комиссию в размере 10%-20%. Эта модель значительно снизила технический барьер для мошенничества, сделав киберпреступность более эффективной и масштабируемой, что привело к распространению фишинговых атак в индустрии шифрования, особенно среди пользователей с низким уровнем безопасности, которые легче становятся целями атак.

Механизм работы мошенничества как услуги

Перед тем как понять мошенничество как услугу, давайте сначала рассмотрим рабочий процесс типичного децентрализованного приложения (DApp). Типичный DApp обычно состоит из интерфейса (например, веб-страницы или мобильного приложения) и смарт-контракта на блокчейне. Пользователи подключаются к интерфейсу DApp через кошелек блокчейна, интерфейс генерирует соответствующую транзакцию блокчейна и отправляет ее в кошелек пользователя. Затем пользователь использует кошелек блокчейна для подписи и одобрения этой транзакции, после завершения подписи транзакция отправляется в сеть блокчейна и вызывает соответствующий смарт-контракт для выполнения необходимых функций.

Атакующие, занимающиеся рыбалкой, хитро манипулируют пользователями, создавая вредоносные интерфейсы и смарт-контракты, чтобы заставить их выполнять небезопасные операции. Обычно атакующие направляют пользователей к нажатию вредоносных ссылок или кнопок, обманывая их на одобрение скрытых вредоносных транзакций, а в некоторых случаях даже напрямую вынуждая пользователей раскрывать свои приватные ключи. Как только пользователь подписывает эти вредоносные транзакции или раскрывает приватные ключи, атакующие могут легко перевести активы пользователя на свои счета.

Распространенные методы фишинга включают:

1. Фальшивый фронт известного проекта: злоумышленники тщательно подражают официальному сайту известного проекта, создавая на вид легитимный интерфейс, заставляя пользователей ошибочно думать, что они взаимодействуют с доверенным проектом.

2. Мошенничество с аирдропами токенов: активно рекламируя в социальных сетях "бесплатные аирдропы", "предварительные продажи", "бесплатный выпуск NFT" и другие заманчивые возможности, чтобы заманить жертв кликнуть по ссылке.

3. Ложные хакерские атаки и схемы вознаграждений: утверждается, что известный проект подвергся хакерской атаке или заморозке активов и сейчас выплачивает пользователям компенсации или вознаграждения.

Механизм распределения добычи Inferno Drainer

21 мая 2024 года Inferno Drainer опубликовал сообщение о проверке подписи на etherscan, объявив о возвращении и создав новый канал в Discord.

После анализа транзакций, связанных с Inferno Drainer, мы обнаружили, что его механизм распределения прибыли следующий:

1. Inferno Drainer создает контракт через CREATE2. CREATE2 - это команда в виртуальной машине Ethereum, используемая для создания смарт-контрактов. Inferno Drainer использует особенности команды CREATE2, чтобы заранее рассчитать адрес контракта по распределению добычи для покупателей фишинга, а затем создает контракт по распределению добычи, когда жертва попадается на крючок.

2. Вызовите созданный контракт, одобрите токены жертвы для фишингового адреса (покупателя сервиса Inferno Drainer) и адреса дележа. Атакующий различными фишинговыми методами направляет жертву на то, чтобы она невольно подписала злонамеренное сообщение Permit2.

3. Переведите соответствующее количество токенов на адрес разделения прибыли и покупателю, завершив распределение.

Стоит отметить, что Inferno Drainer, создавая контракт перед разделением добычи, в определенной степени может обойти некоторые функции антифишинга в кошельках, тем самым снижая бдительность жертв. В одной из транзакций, которую мы наблюдали, покупатель фишинговых услуг забрал 82,5% украденных средств, в то время как Inferno Drainer оставил себе 17,5%.

Простые шаги для создания фишингового сайта

С помощью мошенничества как услуги злоумышленникам стало исключительно просто создать фишинговый сайт:

1. Войдите в канал Telegram, предоставленный Drainer, и используйте простую команду для создания бесплатного доменного имени и соответствующего IP-адреса.

2. Выберите один из сотен шаблонов, начните процесс установки, и через несколько минут вы получите сайт-ловушку, который выглядит профессионально.

3. Поиск потенциальных жертв. Как только кто-то входит на этот сайт и подключает кошелек для подтверждения вредоносной транзакции, активы жертвы будут переведены.

Весь процесс занимает всего несколько минут, что значительно снижает барьер для реализации фишинговых атак.

Рекомендации по безопасности

С учетом все более распространенных фишинговых атак пользователи должны проявлять повышенную бдительность при участии в торговле криптовалютой:

• Будьте осторожны с рекламой в стиле "пироги с неба", такой как подозрительные бесплатные аирдропы или компенсации.
• Тщательно проверьте URL сайта, будьте осторожны с доменами, имитирующими известные проекты. Можно использовать инструмент WHOIS для проверки времени регистрации сайта.
• Строго защищайте личную информацию и никогда не предоставляйте мнемонические фразы или приватные ключи подозрительным сайтам.
• Перед одобрением любой транзакции внимательно проверьте, связаны ли с ней операции Permit или Approve, которые могут привести к потере средств.
• Обращайте внимание на информацию о предупреждениях по безопасности, если обнаружите ошибочное разрешение, своевременно отзывайте или перенаправляйте оставшиеся активы.