Платформа ZeroTokens собирала данные клиентов банков и брокеров

ZeroTokens, платформа фишинга, нацелена на банки и брокерские компании. В кампании с её использованием исследователи выявили более 45 000 сообщений, отправленных более чем 24 000 получателям в более чем 700 организациях. Письма рассылали с девяти скомпрометированных аккаунтов SendGrid, и они проходили проверки SPF, DKIM и DMARC.

Фишинговые сценарии под бренды финансовых компаний

В сообщениях получателей убеждали пройти повторную сертификацию или напоминали о налоговых документах W-8BEN. Предлогом служила обычная проверка соответствия требованиям. Фишинговые сайты имитировали конкретные финансовые учреждения: на них копировали элементы фирменного стиля, размещали настоящие регуляторные сведения, тексты о конфиденциальности и рабочие ссылки.

Каждый проект мог включать до восьми экранов. Среди них были экраны для следующих действий:

• входа в учётную запись;
• проверки по SMS и подтверждения в мобильном приложении;
• сбора данных водительского удостоверения;
• ввода реквизитов банковской карты;
• запроса пароля для торговли.

Платформа поддерживала 53 финансовых бренда в 14 локализациях и 36 шаблонов эмитентов карт. На последнем экране фишинговой цепочки ложно упоминалось распределение акций до IPO. По оценке исследователей, это могло подкреплять последующую инвестиционную мошенническую схему.

Работа операторов и собранные данные

В отличие от автоматизированных фишинговых комплектов, ZeroTokens использовала постоянное соединение WebSocket, которое давало операторам возможность наблюдать за сессиями жертв в реальном времени. Платформа непрерывно передавала в консоль оператора введённые значения и текущий этап сессии. Операторы выбирали, какие запросы показать дальше, и могли выводить сообщения об ошибках, побуждая жертву повторно пройти проверку.

Перехваченные учётные данные и одноразовые пароли операторы могли использовать в отдельной сессии с легитимным финансовым учреждением. При этом ZeroTokens не выступала непосредственным прокси-сервером банковской сессии. Платформа включала 46 конечных точек, 403 определения полей и 382 команды оператора, но в ней не было функций для:

• вывода средств;
• переводов;
• создания получателей;
• проверки баланса;
• торговли.

Основным назначением ZeroTokens был сбор информации. Среди вероятных последующих целей исследователи называют перенаправление платежей, мошенничество при выводе средств, манипуляции с брокерскими счетами и ликвидацию активов.

Инфраструктура платформы использовала повторно применяемые архивы сайтов, сервисы бэкенда и компоненты CDN. Это позволяло быстро заменять хосты-приманки. По всей видимости, ZeroTokens разработали для одной группы, предусмотрев отдельные роли супер-администратора и оператора.

Авторы отчёта рекомендуют, чтобы ответные меры учитывали возможную утечку учётных данных, одноразовых паролей (OTP), документов, удостоверяющих личность, данных банковских карт и паролей для торговли. Они также рекомендуют расследовать, какие именно экраны видел каждый пострадавший и с какими попытками проверки он сталкивался.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.