Операторы Milk Dragon собирают платёжные данные через поддельные магазины
Фишинговый набор Milk Dragon, также известный как NaiLong, активен как минимум с октября 2025 года и распространяется по подписке как услуга фишинга через Telegram. По имеющимся данным, доступ стоит от 300 USDT в месяц. С набором связаны 258 фишинговых страниц, нацеленных на жертв в 66 странах, а также сайты, имитирующие не менее 21 потребительского бренда и 36 финансовых учреждений.
Фишинг через объявления о товарах
Операторы Milk Dragon используют объявления на маркетплейсах Facebook (социальная сеть, принадлежащая запрещённой в России и признанной экстремистской американской корпорации Meta) и TikTok, а также нативные публикации в социальных сетях. В них предлагают потребительские товары по сильно сниженным ценам. В отличие от фишинговых кампаний с рассылками по электронной почте и SMS или срочными уведомлениями о безопасности, здесь жертв привлекают предложениями о покупке.
Переходы из объявлений ведут на сайты на WordPress, созданные для имитации легитимных розничных продавцов. Для страниц оформления заказа сайты используют WooCommerce, который собирает платёжные данные. Пользовательский плагин WordPress BytePress связывается с инфраструктурой управления операторов. Он добавляет в WooCommerce поддельные способы оплаты кредитными картами и PayPal, а также подключает браузер жертвы к панели оператора через постоянное WebSocket-соединение Socket.IO.
Управление оформлением заказа и сбор данных
Данные, которые вводит жертва, передаются операторам посимвольно, без отправки формы. Операторы могут в реальном времени управлять оформлением заказа, менять отображаемые страницы и отправлять уведомления. Они также могут принимать или отклонять введённые данные и направлять жертву на дополнительные этапы проверки. После сбора данных жертве могут показать поддельную страницу подтверждения заказа, чтобы отсрочить обнаружение фишинга и отмену карты.
Панель Milk Dragon поддерживает несколько учётных записей и ролевой доступ. В ней централизованно хранятся данные карт, персональная информация, метаданные устройств, сведения о заказах и доменах, а также показатели конверсии. Панель отправляет уведомления в Telegram, определяет тип карты и банк-эмитент по данным BIN и позволяет управлять несколькими фишинговыми сайтами из одного развёртывания.
Функциональность AiTM даёт операторам возможность выбирать сценарии проверки, соответствующие легитимным запросам 3-D Secure или другим механизмам многофакторной аутентификации (MFA). Набор может перехватывать одноразовые пароли и передавать их для авторизации мошеннических транзакций или перехвата аутентифицированных сессий. Панель и плагин можно развернуть в контейнеризированной инфраструктуре с использованием Docker, что снижает технические затраты на проведение кампаний в масштабе.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
