Казино-сайты служат нелегальным играм, мошенничеству и C2 ВПО

Казино-тематические сайты используют в трёх различных злонамеренных сценариях: для нелегальных китайскоязычных игорных операций, мошенничества против пользователей и размещения инфраструктуры управления вредоносным ПО, замаскированной под казино или контент для взрослых. Внешний вид таких ресурсов часто схож, поэтому проверка только на уровне браузера ненадёжна.

Нелегальные игорные операции и мошеннические сайты

Крупнейшую популяцию составляют нелегальные казино с интерфейсом на китайском языке. На них приходится более 1,7 млн отслеживаемых доменов. Эти операции поддерживают нелегальные азартные игры, отмывание денег и подпольный банковский сектор в Китае и по всей Азии. Среди ключевых инфраструктурных кластеров названы FUNNULL и Vigorish Viper, на которые вместе приходится большинство наблюдаемых доменов.

В отличие от сайтов-мошенников, многие нелегальные казино обеспечивают реальную поддержку клиентов и обрабатывают выплаты. Поддержание доверия игроков способствует продолжению пополнений счетов. Для таких операций характерны сложные схемы размещения и маршрутизации:

• быстро меняющиеся доменные имена;
• перенаправления с учётом местоположения посетителя или характеристик устройства;
• клонированные шаблоны;
• спам-кампании;
• цепочки CNAME;
• «пуленепробиваемый» хостинг;
• использование азиатских провайдеров;
• скомпрометированные или злоупотребляемые аккаунты у крупных американских облачных и инфраструктурных провайдеров.

Домены могут регистрироваться через американских регистраторов, а размещаться в Китае или Гонконге. Такая комбинация усложняет их нейтрализацию.

Сайты мошеннических казино в первую очередь нацелены на англоязычную и другую не китайскую аудиторию. Они привлекают пользователей бонусами или, казалось бы, прибыльными играми, а затем блокируют вывод средств. Для этого применяются задержки, дополнительные комиссии, манипулирование результатами и ограничения аккаунта.

Операторы мошеннических сайтов используют множество доменов, партнёрский маркетинг, чёрный SEO, спам в комментариях, поддельные профили в социальных сетях и имперсонацию публичных фигур или легитимных брендов азартных игр. Полезными индикаторами могут быть:

• сломанные процессы регистрации;
• нерелевантные результаты спама;
• массовые жалобы на невозможность вывести средства.

Низкое качество сайта само по себе не доказывает мошенничество.

Казино и контент для взрослых как маскировка C2

Китайские APT-группировки используют фреймворк PeckBirdy как минимум с 2023 года. Они внедряют вредоносный JavaScript на китайскоязычных сайтах казино и порнографического содержания. Скрипты способны регистрировать сервис-воркеры и устанавливать соединения WebSocket с доменами C2, включая cache-mcp.com и mcp-source[.]online.

Автоматизированные сканеры могут не обнаруживать такое поведение. На момент публикации один из связанных доменов C2 не имел детектов на VirusTotal. Активность PeckBirdy была направлена на несколько секторов:

• образование;
• ИТ;
• банковское дело;
• финансовые услуги;
• государственное управление;
• другие отрасли.

Разрешение нескольких различных доменов C2 PeckBirdy, в частности от трёх до десяти из одной сети, служит более сильным индикатором компрометации, чем одиночный запрос.

Что анализировать при расследовании

Авторы рекомендуют специалистам по информационной безопасности расследовать оповещения, связанные с доменами казино и порнографического содержания, а не отбрасывать их как нарушения политик безопасности. При проверке следует анализировать:

• поведение JavaScript;
• сервис-воркеры;
• соединения WebSocket;
• DNS;
• перенаправления.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.