Розкриття індустрії фішинг-атак у світі шифрування

З червня 2024 року команда безпеки зафіксувала велику кількість схожих фішингових атак та транзакцій на виснаження коштів. Лише за червень сума, що підлягала розгляду, перевищила 55 мільйонів доларів США. З початком серпня та вересня пов'язані фішингові активності стали ще частішими, набираючи обертів. Впродовж третього кварталу 2024 року фішингові атаки стали найбільш значущим засобом, що завдав найбільших економічних збитків, з 65 атак було отримано понад 243 мільйони доларів США. Аналіз показав, що нещодавно часті фішингові атаки, ймовірно, пов'язані з infamous фішинговою командою Inferno Drainer. Ця команда оголосила про "вихід на пенсію" наприкінці 2023 року, але тепер, здається, знову активізувалася, розпочавши низку масованих атак.

Ця стаття проаналізує типові методи злочинної діяльності фішингових угруповань, таких як Inferno Drainer та Nova Drainer, і детально перераховує їхні поведінкові особливості, щоб допомогти користувачам підвищити здатність до виявлення та запобігання фішинговим шахрайствам.

Шахрайство як послуга(Scam-as-a-Service) концепція

У криптосвіті деякі фішингові команди вперше застосували новий шкідливий шаблон під назвою «Шахрайство як послуга» (Шахрайство як послуга, SaaS). Ця модель упаковує шахрайські інструменти та послуги та пропонує їх іншим злочинцям у комерційному вигляді. Яскравим прикладом цього є Inferno Drainer: у період з листопада 2022 року по листопад 2023 року було скоєно шахрайство на суму понад 80 мільйонів доларів, коли вони вперше оголосили про закриття сервісу.

Inferno Drainer допомагає покупцям швидко розпочати атаки, надаючи готові інструменти та інфраструктуру для фішингу, включаючи фронтенд і бекенд фішингових сайтів, смарт-контракти та облікові записи в соціальних мережах. Фішери, які купують послуги SaaS, можуть зберігати більшу частину здобутого, тоді як Inferno Drainer бере комісію в розмірі 10%-20%. Ця модель значно знижує технічний бар'єр для шахрайства, роблячи кіберзлочини більш ефективними та масштабними, внаслідок чого фішингові атаки розповсюджуються в галузі шифрування, особливо серед тих, хто не має обізнаності про безпеку, які стають більш вразливими цілями.

Механізм роботи SaaS

Типовий децентралізований додаток ( DApp ) зазвичай складається з фронтального інтерфейсу (такого як веб-сторінка або мобільний додаток) та смарт-контрактів на блокчейні. Користувачі підключаються до фронтального інтерфейсу DApp через блокчейн-гаманець, фронтальна сторінка генерує відповідну транзакцію в блокчейні та надсилає її до гаманця користувача. Користувачі потім використовують блокчейн-гаманець для підписання та затвердження цієї транзакції, після завершення підписання транзакція надсилається до блокчейн-мережі та викликає відповідний смарт-контракт для виконання необхідних функцій.

Атакувальники рибалки шляхом створення шкідливих інтерфейсів і смарт-контрактів хитро спонукають користувачів виконувати небезпечні дії. Вони зазвичай направляють користувачів натискати на шкідливі посилання або кнопки, обманюючи їх на підтвердження деяких прихованих шкідливих транзакцій, а в деяких випадках навіть прямо спонукають користувачів розкривати приватні ключі. Як тільки користувач підписує ці шкідливі транзакції або розкриває свої приватні ключі, атака здатна легко перевести активи користувача на свій рахунок.

Поширені методи риболовлі включають:

1. Підробка відомих проектів: зловмисники ретельно імітують офіційні веб-сайти відомих проектів, створюючи на вигляд легітимний інтерфейс, вважаючи, що користувачі взаємодіють з надійним проектом.

2. Схеми повітряного скидання токенів: активно агітувати в соціальних мережах про "безкоштовні скидання", "ранні попередні продажі", "безкоштовне карбування NFT" та інші можливості, спокушаючи жертв натискати на посилання та затверджувати шкідливі транзакції.

3. Фальшиві хакерські інциденти та схеми винагород: оголошення про те, що певний відомий проект зазнав хакерської атаки або замороження активів, під виглядом компенсацій або винагороди спонукає користувачів підключити свої гаманці.

Модель SaaS здебільшого стала найбільшим каталізатором зростання фішингових шахрайств за останні два роки. Постачальники інструментів SaaS, такі як Inferno Drainer, повністю усунули технічний бар'єр фішингових шахрайств, надаючи послуги з створення та хостингу фішингових сайтів покупцям, які не мають відповідних технологій, і отримуючи прибуток з шахрайських доходів.

Механізм розподілу прибутку Inferno Drainer

21 травня 2024 року Inferno Drainer оприлюднив на etherscan повідомлення про перевірку підпису, оголосивши про повернення та створивши новий канал Discord. Аналізуючи типовий фішинг-транзакцію, ми можемо побачити, як працює Inferno Drainer:

1. Використовуйте інструкцію CREATE2 для створення контракту на розподіл здобичі.
2. Викликати створений контракт, затвердити токени жертви для фішингової адреси та адреси для розподілу прибутку.
3. Перевести відповідну частину токенів на адресу розподілу та покупцеві, завершити розподіл.

У спостережуваній угоді покупець риболовних послуг отримав 82,5% відкрадених коштів, тоді як Inferno Drainer залишив 17,5%.

Простий кроки для створення фішингового сайту

Завдяки SaaS, зловмисник може створити фішинговий сайт всього за кілька простих кроків:

1. Увійдіть до TG-каналу, наданого Drainer, та використовуйте просту команду для створення безкоштовного домену та IP-адреси.
2. Виберіть один із наданих шаблонів і завершіть установку за кілька хвилин.
3. Чекайте, поки жертва зайде на сайт і схвалить шкідливу угоду.

Увесь процес займає всього кілька хвилин, що значно знижує витрати на злочинність і технологічні бар'єри.

Рекомендації щодо безпеки

Щоб запобігти таким фішинговим атакам, користувачі повинні:

• Будьте обережні з будь-якою рекламою "пиріжків, що падають з неба", довіряйте лише офіційним веб-сайтам або проектам, які пройшли професійний аудит.
• Уважно перевірте URL перед підключенням гаманця та використовуйте інструмент WHOIS для перевірки дати реєстрації сайту.
• Захистіть конфіденційну інформацію, не надавайте мнемонічну фразу або приватний ключ підозрілим веб-сайтам.
• Уважно перевірте, чи пов'язані з операціями Permit або Approve перед затвердженням交易.
• Слідкуйте за інформацією про попередження щодо безпеки, своєчасно відкликайте підозрілі авторизації або переміщуйте активи.