Отправить в избранное: киберпреступники используют Telegram-ботов и Google-формы для автоматизации фишинга

Альтернативные способы доставки украденных с помощью фишинга данных позволяют злоумышленникам обеспечить их сохранность и оперативность использования. Telegram-боты также применяются киберпреступниками в готовых платформах для автоматизации фишинга, доступных в даркнете: в них на основе ботов реализована административная часть, с помощью которой контролируется весь процесс фишинговой атаки и ведется учет похищенных денег. Такие платформы распространяются по формату cybercrime-as-a-service, за счет чего растет количество атакующих группировок и масштаб преступного бизнеса. 

Команда CERT-GIB (Центр мониторинга и реагирования на инциденты информационной безопасности Group-IB) проанализировала инструменты для создания фишинговых страниц, так называемые, фишинг-киты, и выяснила, что в 2020-м году с их помощью фишинговые сайты чаще всего создавались под различные онлайн-сервисы (онлайн-шоппинг, онлайн-кинотеатры и др.), электронную почту, а также под финансовые организации. Суммарно Group-IB обнаружила фишинг-киты, нацеленные свыше чем на 260 уникальных брендов в России и за рубежом. 

Фишинг-кит — это набор готовых инструментов для создания и запуска фишинговых веб-страниц, подделанных под сайт конкретной компании или нескольких сразу. Как правило, фишинг-киты продаются в даркнете, на специализированных форумах. С их помощью преступники, не обладающие глубокими навыками программирования, могут легко разворачивать инфраструктуру для масштабных фишинговых атак и быстро возобновлять ее работу в случае блокировки. Исследователям по кибербезопасности фишинг-киты интересны прежде всего тем, что анализ одного такого «набора» позволяет разобраться в механизме реализации фишинговой атаки и установить, куда отправляются похищенные данные. Помимо этого, исследование фишинг-китов зачастую помогает обнаружить цифровые следы, ведущие к разработчикам такого «товара». 

Как и в 2019 году, главной мишенью фишеров были онлайн-сервисы (30.7%): похищая учетные данные пользовательских аккаунтов, злоумышленники получали доступ к данным привязанных банковских карт. Привлекательность почтовых сервисов для атак в прошлом году снизилась, а доля фишинг-китов, нацеленных на них, сократилась до 22.8%. Тройку замыкают финансовые учреждения, на которые приходится немногим более 20%. В 2020 году наиболее часто эксплуатируемыми в фишинговых наборах брендами были Microsoft, PayPal, Google и Yahoo. 

Данные, которые пользователь вводит на фишинговым сайте, злоумышленник получает не сразу: сначала они записываются в локальный файл, после чего главной задачей становится извлечение похищенного. Чаще всего для пересылки таких данных используются почтовые адреса, зарегистрированные на бесплатных сервисах электронной почты. Они составляют 66% от общего числа адресов, найденных в фишинговых наборах. Наиболее распространены аккаунты на Gmail и Yandex. 

Альтернативные пути получения украденных злоумышленниками данных можно разделить на локальные, когда они записываются в файл, расположенный на самом фишинговом ресурсе, и удаленные — когда они отправляются на сторонний сервер. Для передачи украденных данных злоумышленники активно используют легитимные сервисы. Так, в прошлом году началось широкое применение в фишинговых наборах Google-форм, а также выгрузка украденных данных в специально созданные приватные Telegram-боты. 

Такие способы доставки украденных данных позволяют злоумышленникам обеспечить сохранность похищенных с помощью фишинга данных и оперативность их использования. Суммарно на альтернативные способы пока приходится порядка 6%, но вероятнее всего их доля будет расти, а основное увеличение придется на Telegram в силу простоты реализации схемы и анонимности мессенджера. 

Функциональность фишинг-китов не ограничивается созданием страниц для похищения данных пользователей: некоторые из них могут подгружать вредоносные файлы на устройство жертвы. Иногда продавцы наборов для фишинга обманывают своих же покупателей, пытаясь заработать на них дважды. Помимо продажи созданного ими вредоносного инструмента, они могут заинтересоваться и похищенными с его помощью данными. Используя специальный скрипт, встроенный в тело фиш-кита, они направляют поток украденных пользовательских данных себе или получают скрытый доступ к хостингу своего покупателя. 

«Фишинг-киты изменили правила игры в этом сегменте борьбы с киберпреступлениями: раньше злоумышленники прекращали свои кампании после блокировки мошеннических ресурсов и быстро переключались на другие бренды, сегодня они автоматизируют атаку, моментально выводя новые фишинговые страницы на смену заблокированным, — комментирует заместитель руководителя CERT-GIB Ярослав Каргалев. — Автоматизация таких атак, в свою очередь, приводит к распространению более сложной социальной инженерии, которая начинает применяться в масштабных атаках, а не в точечных, как было ранее. Это позволяет представителям одной из самых древних киберпреступных профессий оставаться на плаву». 

Бороться с «продвинутыми» фишинговыми схемами с помощью классического мониторинга и блокировки недостаточно, необходимо выявлять все элементы инфраструктуры атакующих, блокируя не отдельные фишинговые страницы, а сеть мошеннических ресурсов целиком. Система Group-IB Threat Intelligence & Attribution проводит анализ фишинговых атак и атрибутирует их до конкретной преступной группы, выявляя все созданные ей ресурсы. В системе Group-IB Threat Intelligence & Attribution аккумулирована обширная база фишинговых наборов, что позволяет компании бороться с фишингом, нацеленным на конкретный бренд. Данная база регулярно обогащается: как только TI&A обнаруживает фишинговую страницу, система сканирует всю инфраструктуру злоумышленников, в том числе с целью получения доступа к фишинг-киту для того, чтобы определить, какие данные были скомпрометированы и куда они передавались.