Розкриття індустрії фішингових атак у світі шифрування

З червня 2024 року команда безпеки зафіксувала велику кількість схожих фішингових атак і угод з викраденням коштів. Лише за червень сума, що підлягала розгляду, перевищила 55 мільйонів доларів США. У серпні та вересні відповідні фішингові активності стали ще частішими, що вказує на посилення ситуації. У третьому кварталі 2024 року фішингові атаки стали найбільшою причиною економічних втрат, зловмисники отримали понад 243 мільйони доларів США в 65 операціях.

Аналіз показує, що нещодавно часті фішингові атаки, ймовірно, пов'язані з відомою командою фішингових інструментів Inferno Drainer. Ця команда гучно оголосила про "вихід на пенсію" наприкінці 2023 року, але тепер, здається, знову активна і планує серію масштабних атак.

У цій статті буде детально проаналізовано типові методи злочинної діяльності таких фішингових угруповань, як Inferno Drainer, а також надано детальний перелік їхніх поведінкових характеристик, з метою допомогти користувачам підвищити свою спроможність до виявлення та запобігання фішинговим шахрайствам.

Зростання шахрайства як послуги (Scam-as-a-Service)

У сфері шифрування криптовалют виникла нова форма злочинності - шахрайство як послуга (Scam-as-a-Service). Ця модель упаковує інструменти та послуги шахрайства, пропонуючи їх іншим злочинцям в комерційний спосіб. Inferno Drainer є представницькою командою у цій сфері. Протягом періоду з листопада 2022 року по листопад 2023 року, коли вони вперше оголосили про закриття послуг, загальна сума шахрайства перевищила 80 мільйонів доларів.

Inferno Drainer допомагає покупцям швидко розпочати атаки, надаючи готові інструменти та інфраструктуру для фішингу, включаючи фронт- і бекенд фішинг-сайтів, смарт-контракти та облікові записи в соціальних мережах. Фішери, які купують послуги, можуть зберігати більшу частину крадених коштів, тоді як Inferno Drainer отримує комісію в розмірі 10%-20%. Ця модель значно знижує технічний бар'єр для шахрайства, роблячи кіберзлочини більш ефективними та масштабованими, що призводить до поширення фішингових атак у сфері шифрування, особливо серед користувачів, які не мають достатньої обізнаності про безпеку.

Механізм роботи шахрайства як послуги

Перед тим як зрозуміти шифрування як послугу, давайте спочатку розглянемо типовий робочий процес децентралізованого застосунку (DApp). Типовий DApp зазвичай складається з фронтенд-інтерфейсу (наприклад, веб-сторінки або мобільного застосунку) та смарт-контрактів на блокчейні. Користувач підключається до фронтенд-інтерфейсу DApp через гаманець блокчейна, фронтенд-сторінка генерує відповідну транзакцію блокчейна та надсилає її до гаманця користувача. Користувач потім підписує та затверджує цю транзакцію за допомогою гаманця блокчейна, після завершення підпису транзакція надсилається до мережі блокчейна, і викликається відповідний смарт-контракт для виконання необхідної функції.

Зловмисники риболовлі шляхом проектування шкідливого фронтального інтерфейсу та смарт-контрактів хитро спонукають користувачів виконувати небезпечні дії. Зловмисники зазвичай направляють користувачів натискати на шкідливі посилання або кнопки, обманюючи їх на схвалення деяких прихованих шкідливих транзакцій, а в деяких випадках навіть безпосередньо спонукаючи користувачів розкривати свої приватні ключі. Як тільки користувач підписує ці шкідливі транзакції або розкриває свої приватні ключі, зловмисник може легко перевести активи користувача на свій рахунок.

Звичні методи фішингу включають:

1. Підробка відомих проектів: зловмисники ретельно імітують офіційні вебсайти відомих проектів, створюючи на вигляд легітимні інтерфейси, які змушують користувачів помилятися, вважаючи, що вони взаємодіють з довіреним проектом.

2. Схема з повітряними токенами: активно рекламується в соціальних мережах "безкоштовний аерозоль", "ранній попередній продаж", "безкоштовне карбування NFT" та інші надзвичайно привабливі можливості, що спонукають жертв натискати на посилання.

3. Фальшиві хакерські інциденти та схеми винагород: заявляють, що певний відомий проєкт зазнав хакерської атаки або замороження активів, і наразі виплачують користувачам компенсацію чи винагороду.

Механізм розподілу прибутку Inferno Drainer

21 травня 2024 року Inferno Drainer оприлюднив повідомлення про перевірку підпису на etherscan, оголосивши про повернення та створивши новий канал у Discord.

Після аналізу транзакцій, пов'язаних з Inferno Drainer, ми виявили, що його механізм розподілу прибутку такий:

1. Inferno Drainer створює контракт через CREATE2. CREATE2 – це команда у віртуальній машині Ethereum, що використовується для створення смарт-контрактів. Inferno Drainer використовує особливості команди CREATE2, щоб заздалегідь обчислити адресу контракту для розподілу нагород для покупців фішингових послуг, а потім створює контракт для розподілу нагород, коли жертва потрапляє в пастку.

2. Виклик створеного контракту, дозволяючи токени жертви на фішингову адресу (покупець сервісу Inferno Drainer) та адресу для поділу. Зловмисник за допомогою різних фішингових методів спонукає жертву ненавмисно підписати шкідливе повідомлення Permit2.

3. Переведіть відповідну частку токенів на адреси розподілу та покупців, щоб завершити розподіл.

Варто зазначити, що Inferno Drainer, створюючи контракт перед розподілом здобичі, певною мірою може обійти деякі функції захисту від фішингу в гаманцях, що ще більше знижує настороженість жертв. У одній з угод, яку ми спостерігали, покупець фішингових послуг забрав 82,5% здобичі, тоді як Inferno Drainer залишив собі 17,5%.

Простий кроки для створення фішингового сайту

Завдяки шахрайству як послузі, зловмисникам стало надзвичайно просто створити фішинговий сайт:

1. Увійдіть у Telegram-канал, наданий Drainer, використовуючи просту команду для створення безкоштовного домену та відповідної IP-адреси.

2. Виберіть один з сотень шаблонів, увійдіть в процес установки, і через кілька хвилин ви зможете створити сайт для фішингу, що виглядає професійно.

3. Шукати потенційних жертв. Як тільки хтось зайде на цей сайт і підключить гаманець для схвалення шкідливої угоди, активи жертви будуть переведені.

Увесь процес займає лише кілька хвилин, що значно знижує бар'єри для реалізації фішингових атак.

Рекомендації з безпеки

Стикаючись із дедалі більшою поширеністю фішингових атак, користувачі повинні бути вкрай уважними під час участі в торгівлі шифруванням:

• Будьте обережні з рекламою у стилі "пиріжки падають з неба", наприклад, з підозрілими безкоштовними аірдропами або компенсаціями.
• Уважно перевірте URL сайту, будьте обережні з доменами, які імітують відомі проекти. Можна використовувати інструменти для перевірки доменів WHOIS, щоб перевірити дату реєстрації сайту.
• Суворо захищайте особисту інформацію, не надавайте мнемонічні слова або приватні ключі підозрілим сайтам.
• Перед затвердженням будь-якої транзакції уважно перевірте, чи є Permit або Approve операції, які можуть призвести до втрати коштів.
• Слідкуйте за інформацією про попередження безпеки, якщо виявите помилкове уповноваження, своєчасно відкликайте або переміщуйте залишкові активи.