Resecurity назвала Iron Man System коммерческой платформой фишинга
Resecurity выявила Iron Man System, коммерческую платформу фишинга как услуги, которую продают в виде пакета для самостоятельного развертывания. Исследователи подтвердили связь комплекта с инфраструктурой, которой управляет поставщик, с помощью приобретённой лицензии, изолированного развертывания в лаборатории и фильтрации перехваченного исходящего сетевого трафика.
Устройство платформы и инфраструктура
В комплект входит административная панель для развертывания и управления фишинговыми фронтендами. Они имитируют сайты и сервисы разных организаций и программ:
- почтовых и курьерских служб;
- налоговых органов и банков;
- телекоммуникационных операторов и розничных продавцов;
- медицинских организаций и транспортных ведомств;
- полицейских управлений и программ лояльности.
Платформа поддерживает интерфейсы на китайском и английском языках, проверку лицензий и настройку фронтендов. В комплекте также предусмотрены скрытые административные пути. Вспомогательная инфраструктура включает домены и сервисы для лицензирования, телеметрии, объектного хранилища, подготовки развертывания и распространения программного обеспечения.
Публично доступный реестр сборок содержал 911 исторических сборок. В каталоге без аутентификации обнаружили восемь учётных записей операторов. В них были указаны адреса электронной почты с китайскими доменами, а также доменами Gmail и ProtonMail. Одна административная учётная запись использовала домен, связанный с собственной инфраструктурой оператора.
Инфраструктура использовала повторяющиеся схемы хостинга и DNS для лицензирования, телеметрии, хранения данных и сборки. Фронтенд-инфраструктура периодически менялась.
Каталог приманок и товаров
Связанный каталог шаблонов содержал 2 360 фишинговых пакетов для 130 целевых областей. В них использовались 242 кода страны или региона и 551 тег типа приманки. Крупнейшую категорию составляла имитация служб доставки и почтовых операторов, за ней следовали приманки на темы налоговых органов и банков. По оценке исследователей, это указывает на широкое использование массового фишинга и смишинга. Метаданные были доступны для 1 566 записей, которым соответствовало около 17,4 ГБ упакованного контента приманок.
В комплект также входит отдельная подсистема каталога товаров для удалённого доступа. Её серверная часть на Go содержит контроллеры и маршруты API для импорта национальных каталогов товаров, показа товаров жертвам и загрузки изображений на медиа-сервер. Встроенные строки журналирования указывают, что загрузку метаданных изображений и каталогов отслеживают, а после сбоев повторяют. Эту функциональность рассматривают как операционный компонент, а не как неиспользуемый код.
Оценка Resecurity основана на контролируемом лабораторном анализе, изучении публично доступных реестров, сетевых наблюдениях и метаданных каталога. Процедуры установки, учётные данные и детали оперативного развертывания были скрыты.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
