Раскрытие индустриализации фишинг-атак в мире шифрования

С июня 2024 года команда безопасности зафиксировала большое количество схожих фишинговых атак и транзакций с истощением средств. Только в июне сумма вовлеченных средств превысила 55 миллионов долларов. В августе и сентябре связанные с этим фишинговые активности стали еще более частыми, принимая все более угрожающий характер. В течение третьего квартала 2024 года фишинг-атаки стали самым крупным источником экономических потерь, с более чем 243 миллиона долларов, полученных в 65 атаках. Анализ показывает, что недавние фишинговые атаки, вероятно, связаны с печально известной командой инструментов для фишинга Inferno Drainer. Эта команда объявила о "пенсии" в конце 2023 года, но теперь, похоже, вернулась и начала серию масштабных атак.

В данной статье будет проанализировано типичное поведение группировок фишинга, таких как Inferno Drainer и Nova Drainer, и подробно перечислены их характерные особенности, чтобы помочь пользователям повысить свою способность к распознаванию и предотвращению фишинговых мошенничеств.

Мошенничество как услуга(Scam-as-a-Service) концепция

В мире шифрования некоторые фишинговые группы разработали новый злонамеренный режим под названием "Скам как услуга" ( Scam-as-a-Service, SaaS ). Эта модель упаковывает инструменты и услуги для мошенничества и предлагает их другим преступникам в товарной форме. Inferno Drainer является типичным представителем этой области, и в период с ноября 2022 года по ноябрь 2023 года, когда они впервые объявили о закрытии услуг, сумма их мошенничества превысила 80 миллионов долларов.

Inferno Drainer помогает покупателям быстро начать атаки, предоставляя готовые инструменты и инфраструктуру для фишинга, включая фронтенд и бэкенд фишинговых сайтов, смарт-контракты и аккаунты в социальных сетях. Фишеры, покупающие SaaS-услуги, могут оставить себе большинство украденных средств, в то время как Inferno Drainer берет комиссию в размере 10%-20%. Эта модель значительно снижает технический барьер для мошенничества, делая киберпреступность более эффективной и масштабируемой, что приводит к распространению фишинговых атак в сфере шифрования, особенно среди пользователей, которые не обладают достаточной безопасностью.

Механизм работы SaaS

Типичное децентрализованное приложение (DApp) обычно состоит из интерфейса (например, веб-страницы или мобильного приложения) и смарт-контрактов на блокчейне. Пользователи подключаются к интерфейсу DApp через кошелек блокчейна, интерфейс генерирует соответствующую транзакцию блокчейна и отправляет её в кошелек пользователя. Затем пользователь использует кошелек блокчейна для подписи одобрения этой транзакции, после завершения подписи транзакция отправляется в сеть блокчейна и вызывает соответствующий смарт-контракт для выполнения необходимых функций.

Злоумышленники, использующие фишинг, ловко манипулируют пользователями, создавая вредоносные интерфейсы и смарт-контракты, чтобы заставить их выполнять небезопасные действия. Обычно они направляют пользователей на нажатие вредоносных ссылок или кнопок, обманывая их, чтобы те одобрили скрытые злонамеренные транзакции, а в некоторых случаях даже прямо заставляют пользователей раскрывать свои приватные ключи. Как только пользователь подписывает эти злонамеренные транзакции или раскрывает свой приватный ключ, злоумышленники могут легко перенести активы пользователя на свой счет.

Распространенные методы фишинга включают:

1. Подделка известного проекта: злоумышленник тщательно имитирует официальный веб-сайт известного проекта, создавая на вид законный интерфейс, заставляя пользователей думать, что они взаимодействуют с доверенным проектом.

2. Мошенничество с аирдропами токенов: активная реклама в социальных сетях возможностей "бесплатного аирдропа", "ранней предзаказа", "бесплатной чеканки NFT" и т. д., чтобы заманить жертв кликнуть по ссылке и одобрить вредоносные транзакции.

3. Ложные хакерские атаки и мошенничество с вознаграждениями: утверждают, что известный проект подвергся хакерской атаке или заморозке активов, и сейчас выплачивают компенсации или вознаграждения пользователям, чтобы обманом заставить их подключить кошелек.

Модель SaaS в значительной степени является главным двигателем роста фишинговых мошенничеств за последние два года. Провайдеры SaaS-инструментов, такие как Inferno Drainer, полностью устранили технические барьеры фишинга, предлагая услуги по созданию и хостингу фишинговых сайтов для покупателей, не обладающих соответствующими технологиями, и извлекая прибыль из мошеннических доходов.

Механизм распределения прибыли Inferno Drainer

21 мая 2024 года Inferno Drainer опубликовал на etherscan сообщение о проверке подписи, объявив о возвращении и создав новый канал в Discord. Анализируя типичную фишинговую транзакцию, мы можем увидеть, как работает Inferno Drainer:

1. Используйте команду CREATE2 для создания контракта по распределению добычи.
2. Вызовите созданный контракт, чтобы одобрить токены жертвы для фишингового адреса и адреса раздела добычи.
3. Переведите соответствующее количество токенов на адрес для дележа и покупателю, завершив дележ.

В наблюдаемой сделке покупатель услуги рыбалки получил 82,5% от похищенных средств, в то время как Inferno Drainer оставил себе 17,5%.

Простые шаги для создания фишингового сайта

С помощью SaaS злоумышленник может создать фишинговый сайт всего за несколько простых шагов:

1. Войдите в TG-канал, предоставленный Drainer, и используйте простую команду для создания бесплатного доменного имени и IP-адреса.
2. Выберите один из предоставленных шаблонов и завершите установку за несколько минут.
3. Ждать, пока жертва войдет на сайт и одобрит злонамеренную транзакцию.

Весь процесс занимает всего несколько минут, что значительно снижает затраты на преступление и технические барьеры.

Рекомендации по безопасности

Чтобы избежать таких фишинговых атак, пользователи должны:

• Будьте осторожны с любыми рекламами типа "пирог на небесах", доверяйте только официальным сайтам или проектам, прошедшим профессиональный аудит.
• Тщательно проверьте URL перед подключением кошелька и используйте инструмент WHOIS для проверки времени регистрации сайта.
• Защита конфиденциальной информации, не предоставляйте мнемоническую фразу или приватный ключ подозрительным сайтам.
• Тщательно проверьте, связаны ли операции с Permit или Approve перед утверждением сделки.
• Обращайте внимание на информацию о предупреждениях безопасности, своевременно отзывайте подозрительные разрешения или переводите активы.