Раскрытие индустриализации фишинговых атак в мире шифрования

С июня 2024 года команда безопасности зафиксировала большое количество схожих фишинговых/исчерпывающих транзакций, только в июне сумма вовлеченных средств превысила 55 миллионов долларов. В августе и сентябре активность связанных фишинговых адресов стала более частой, фишинговые атаки стали усиливаться. В третьем квартале 2024 года фишинговые атаки стали причиной наибольших экономических убытков, злоумышленники получили более 243 миллионов долларов в 65 действиях.

Анализ показывает, что недавние частые фишинговые атаки, скорее всего, связаны с печально известной командой фишинговых инструментов. Эта команда громко объявила о своем "выходе на пенсию" в конце 2023 года, но теперь, похоже, снова активна, вызвав серию масштабных атак.

В данной статье будет проанализирован типичный метод действий группировок, занимающихся фишингом, и подробно перечислены их поведенческие характеристики, чтобы помочь пользователям повысить свою способность к распознаванию и предотвращению фишинговых мошенничеств.

Модель мошенничества как услуга

В мире шифрования некоторые команды изобрели новый злонамеренный режим, называемый "мошенничество как услуга". Этот режим упаковывает инструменты и услуги мошенничества и предлагает их другим преступникам в товарном виде. В период с ноября 2022 года по ноябрь 2023 года, когда они впервые объявили о закрытии услуг, сумма мошенничества превысила 80 миллионов долларов.

Эти команды помогают покупателям быстро начать атаки, предоставляя готовые инструменты и инфраструктуру для фишинга, включая фронтенд и бэкенд фишинг-сайтов, смарт-контракты и учетные записи в социальных сетях. Фишеры, покупающие услуги, оставляют себе большую часть похищенных средств, в то время как команды, предоставляющие услуги, взимают комиссию в размере 10%-20%. Эта модель значительно снижает технический порог для мошенничества, делая киберпреступность более эффективной и масштабируемой, что приводит к распространению фишинговых атак в индустрии шифрования, особенно среди пользователей, которые не осведомлены о безопасности, что делает их более уязвимыми для атак.

Способы работы мошенничества как услуги

Перед тем как представить эту модель услуги, давайте сначала разберемся с типичным рабочим процессом децентрализованных приложений (DApp). Типичный DApp обычно состоит из интерфейса (например, веб-страницы или мобильного приложения) и смарт-контрактов на блокчейне. Пользователи подключаются к интерфейсу DApp через блокчейн-кошелек, интерфейс генерирует соответствующую блокчейн-транзакцию и отправляет её в кошелек пользователя. Затем пользователь подписывает и одобряет эту транзакцию с помощью блокчейн-кошелька, и после завершения подписания транзакция отправляется в блокчейн-сеть, где вызывается соответствующий смарт-контракт для выполнения необходимых функций.

Итак, как атакующие с фишингом обманывают пользователей и крадут их средства? Ответ заключается в том, что они создают вредоносные интерфейсы и смарт-контракты, искусно подталкивая пользователей к выполнению небезопасных действий. Атакующие обычно направляют пользователей к нажатию на вредоносные ссылки или кнопки, обманывая их, чтобы те одобрили некоторые скрытые вредоносные транзакции, а в некоторых случаях даже напрямую манипулируют пользователями, чтобы они раскрыли свои личные ключи. Как только пользователь подписывает эти вредоносные транзакции или раскрывает свои личные ключи, атакующий может легко перевести активы пользователя на свой счет.

Вот некоторые из самых распространенных методов:

1. Фальшивый фронтенд известных проектов: злоумышленники, тщательно имитируя официальные веб-сайты известных проектов, создают, казалось бы, легитимные интерфейсы, заставляя пользователей думать, что они взаимодействуют с доверенным проектом, что приводит к снижению бдительности, подключению кошелька и выполнению небезопасных действий.

2. Мошенничество с аирдропами токенов: они активно рекламируют фишинговые сайты в социальных сетях, утверждая, что есть "бесплатные аирдропы", "ранние предпродажи", "бесплатная чеканка NFT" и другие привлекательные возможности, чтобы заманить жертв нажать на ссылку. Жертвы, привлеченные к фишинговым сайтам, часто бессознательно подключают свои кошельки и одобряют вредоносные транзакции.

3. Ложные хакерские инциденты и схемы мошенничества с вознаграждениями: киберпреступники утверждают, что известный проект подвергся хакерской атаке или замораживанию активов и сейчас выплачивает пользователям компенсации или вознаграждения. Они используют эти ложные экстренные ситуации, чтобы привлечь пользователей на фишинговые сайты, обманывая их подключиться к кошельку и, в конечном итоге, похищая средства пользователей.

Можно сказать, что фишинг-мошенничество не является чем-то новым, оно было довольно распространено еще до 2020 года, но эта модель услуг в значительной степени стала основным двигателем роста фишинг-мошенничества за последние два года. Прежде чем появилась эта модель, фишинг-атакующим необходимо было подготовить стартовый капитал на блокчейне, создать фронтальный сайт и смарт-контракт. Хотя большинство этих фишинговых сайтов были грубо сделаны, с помощью набора шаблонов и простых изменений можно было заново создать новый мошеннический проект, но поддержка сайта и дизайн страниц все равно требовали определенных технических знаний. А эти поставщики инструментов полностью устранили технический барьер для фишинг-мошенничества, предоставив услуги по созданию и хостингу фишинговых сайтов для покупателей, не обладающих соответствующими знаниями, и извлекая прибыль из мошеннических доходов.

Раскрытие: сколько шагов нужно для создания фишингового сайта?

Посмотрев, как эти команды делят награбленное, давайте посмотрим, насколько легко злоумышленникам создать фишинговый сайт с помощью этой модели обслуживания.

Первый шаг, после входа в предоставленный канал связи, всего лишь одной простой командой был создан бесплатный доменное имя и соответствующий IP-адрес.

На втором этапе выберите один из сотен шаблонов, предоставленных роботом, затем перейдите к процессу установки, и через несколько минут будет создан интерфейс, похожий на настоящий фишинговый сайт.

Шаг третий, найти жертву. Как только жертва заходит на сайт, верит мошеннической информации на странице и подключает кошелек, чтобы одобрить вредоносную транзакцию, активы жертвы будут переведены. А злоумышленнику с помощью такого сервиса потребуется всего три шага, и времени это займет всего несколько минут.

Итоги и выводы

Возвращение этого инструмента для фишинга безусловно создало огромные угрозы безопасности для пользователей в отрасли, благодаря своим мощным функциям и скрытным методам атаки, а также очень низким затратам на преступление, он стал одним из предпочтительных инструментов для киберпреступников при осуществлении фишинг-атак и кражи средств.

Пользователи, участвуя в торговле шифрованием, должны всегда быть настороже и помнить о следующих моментах:

• В мире нет бесплатного обеда: не верьте никакой рекламе о "пирогах, падающих с неба", например, подозрительным бесплатным аирдропам или компенсациям, доверяйте только официальным сайтам или проектам, прошедшим профессиональный аудит.
• Постоянно проверяйте сетевое соединение: перед тем как подключить кошелек к любому сайту, внимательно проверьте URL, не имитирует ли он известные проекты, и старайтесь использовать инструменты проверки доменных имен WHOIS, чтобы узнать дату регистрации. Сайты с слишком коротким сроком регистрации, скорее всего, являются мошенническими проектами.
• Защита личной информации: не передавайте свои мнемонические фразы и приватные ключи подозрительным сайтам или приложениям. Прежде чем кошелек запросит подпись на любом сообщении или одобрение сделки, внимательно проверьте, является ли эта сделка потенциально опасной, которая может привести к потерям средств, например, Permit или Approve.
• Обратите внимание на обновления информации о мошенничестве: следите за официальными аккаунтами в социальных сетях, которые регулярно публикуют предупреждающую информацию. Если вы обнаружите, что случайно предоставили токены мошенническому адресу, немедленно отозовите разрешение или переведите оставшиеся активы на другой безопасный адрес.