Dévoiler l'industrialisation des attaques de phishing dans le monde du chiffrement

Depuis juin 2024, l'équipe de sécurité a détecté un grand nombre de transactions de phishing et d'épuisement de fonds similaires. Rien que pour le mois de juin, le montant impliqué a dépassé 55 millions de dollars. À partir des mois d'août et septembre, les activités de phishing associées sont devenues de plus en plus fréquentes, prenant une tournure de plus en plus grave. Au cours du troisième trimestre 2024, les attaques par phishing sont devenues le moyen d'attaque causant les plus grandes pertes économiques, avec plus de 243 millions de dollars obtenus au cours de 65 attaques. Les analyses montrent que les attaques de phishing fréquentes récemment sont très probablement liées à l'équipe d'outils de phishing notoire Inferno Drainer. Cette équipe avait annoncé sa "retraite" à la fin de 2023, mais semble maintenant faire son retour, lançant une série d'attaques à grande échelle.

Cet article analysera les méthodes typiques de fraude des groupes de phishing tels qu'Inferno Drainer et Nova Drainer, et énumérera en détail leurs caractéristiques comportementales, afin d'aider les utilisateurs à améliorer leur capacité à identifier et à prévenir les escroqueries de phishing.

Escroquerie en tant que service(Scam-as-a-Service) concept

Dans le monde du chiffrement, certaines équipes de phishing ont créé un nouveau modèle malveillant appelé "Scam-as-a-Service"(SaaS). Ce modèle regroupe des outils et des services de fraude pour les proposer de manière commercialisée à d'autres criminels. Inferno Drainer est un exemple typique dans ce domaine, ayant fraudé plus de 80 millions de dollars entre novembre 2022 et novembre 2023, période durant laquelle ils ont annoncé pour la première fois la fermeture de leurs services.

Inferno Drainer aide les acheteurs à lancer rapidement des attaques en leur fournissant des outils et des infrastructures de phishing prêts à l'emploi, y compris le front-end et le back-end des sites de phishing, des contrats intelligents et des comptes de médias sociaux. Les phishers qui achètent des services SaaS peuvent conserver une grande partie des fonds volés, tandis qu'Inferno Drainer prélève une commission de 10 à 20 %. Ce modèle réduit considérablement le seuil technologique de la fraude, rendant la cybercriminalité plus efficace et à grande échelle, ce qui entraîne une prolifération des attaques de phishing dans l'industrie du chiffrement, en particulier chez les utilisateurs qui manquent de sensibilisation à la sécurité.

Mécanisme de fonctionnement SaaS

Une application décentralisée typique (DApp) se compose généralement d'une interface frontale (comme une page Web ou une application mobile) et d'un contrat intelligent sur la blockchain. Les utilisateurs se connectent à l'interface frontale de l'application décentralisée via un portefeuille de blockchain, la page frontale génère la transaction correspondante sur la blockchain et l'envoie au portefeuille de l'utilisateur. L'utilisateur utilise ensuite le portefeuille de blockchain pour signer et approuver la transaction, une fois la signature effectuée, la transaction est envoyée au réseau blockchain et appelle le contrat intelligent correspondant pour exécuter les fonctionnalités requises.

Les attaquants de phishing trompent habilement les utilisateurs en concevant une interface frontale malveillante et des contrats intelligents pour les inciter à effectuer des opérations non sécurisées. Ils guident généralement les utilisateurs à cliquer sur des liens ou des boutons malveillants, les trompant ainsi pour approuver certaines transactions malveillantes cachées, et dans certains cas, en les incitant directement à divulguer leur clé privée. Une fois que l'utilisateur a signé ces transactions malveillantes ou a exposé sa clé privée, l'attaquant peut facilement transférer les actifs de l'utilisateur vers son propre compte.

Les méthodes de phishing courantes incluent :

1. Faux front-end de projets connus : les attaquants imitent soigneusement le site officiel de projets connus, créant une interface front-end apparemment légitime, incitant les utilisateurs à croire qu'ils interagissent avec un projet de confiance.

2. Arnaque de largage de jetons : promouvoir massivement sur les réseaux sociaux des opportunités telles que "largage gratuit", "prévente anticipée", "minting gratuit d'NFT", incitant les victimes à cliquer sur des liens et à approuver des transactions malveillantes.

3. Événements de piratage fictifs et escroqueries aux récompenses : prétendant qu'un projet connu a subi une attaque de hackers ou un gel d'actifs, et distribuant des compensations ou des récompenses aux utilisateurs, incitant les utilisateurs à connecter leur portefeuille.

Le modèle SaaS est en grande partie le principal moteur de l'augmentation des escroqueries par hameçonnage au cours des deux dernières années. Des fournisseurs d'outils SaaS comme Inferno Drainer ont complètement éliminé les barrières techniques liées à l'hameçonnage, offrant aux acheteurs dépourvus des compétences techniques nécessaires la possibilité de créer et d'héberger des sites Web de phishing, et tirant des profits des gains frauduleux.

Mécanisme de partage des gains de l'Inferno Drainer

Le 21 mai 2024, Inferno Drainer a publié un message de vérification de signature sur etherscan, annonçant son retour et créant un nouveau canal Discord. En analysant une transaction typique de phishing, nous pouvons voir comment fonctionne Inferno Drainer :

1. Utiliser l'instruction CREATE2 pour créer un contrat de partage.
2. Appelez le contrat créé pour approuver les jetons de la victime à l'adresse de phishing et à l'adresse de partage des gains.
3. Transférer les jetons correspondants en proportion vers l'adresse de partage et l'acheteur, afin de compléter le partage.

Dans une transaction observée, l'acheteur du service de pêche a obtenu 82,5 % des gains, tandis que l'Inferno Drainer a conservé 17,5 %.

Étapes simples pour créer un site de phishing

Avec l'aide du SaaS, un attaquant peut créer un site de phishing en quelques étapes simples :

1. Rejoignez le canal TG fourni par Drainer et utilisez une commande simple pour créer un nom de domaine et une adresse IP gratuits.
2. Choisissez un modèle fourni et terminez l'installation en quelques minutes.
3. Attendre que la victime entre sur le site et approuve la transaction malveillante.

Le processus ne prend que quelques minutes, ce qui réduit considérablement le coût de la criminalité et le seuil technique.

Conseils de sécurité

Pour prévenir ce type d'attaque par phishing, les utilisateurs doivent :

• Méfiez-vous de toute promotion de type "cadeau du ciel", ne faites confiance qu'aux sites officiels ou aux projets ayant fait l'objet d'un audit professionnel.
• Avant de connecter votre portefeuille, vérifiez soigneusement l'URL et utilisez un outil de recherche de domaine WHOIS pour vérifier la date d'enregistrement du site.
• Protégez vos informations privées, ne fournissez pas de mots de passe mnémotechniques ou de clés privées à des sites suspects.
• Vérifiez soigneusement si des opérations de Permit ou d'Approve sont impliquées avant d'approuver la transaction.
• Suivez les informations d'alerte de sécurité et retirez rapidement les autorisations suspectes ou transférez des actifs.