Эксперты отмечают глобальный рост сервисов по фишингу (PhaaS): 17 500 фишинговых доменов атакуют 316 брендов в 74 странах

[index]

Услуги фишинга как сервиса (Phishing-as-a-Service, PhaaS), известные как Lighthouse и Lucid, связаны с более чем 17 500 фишинговыми доменами, нацеленными на 316 брендов из 74 стран.

«Использование PhaaS-решений значительно увеличилось в последнее время», — говорится в новом отчёте компании Netcraft. — «Операторы PhaaS взимают ежемесячную плату за доступ к фишинговому ПО с предустановленными шаблонами, имитирующими, в некоторых случаях, сотни брендов из разных стран мира».

Платформа Lucid впервые была описана швейцарской кибербезопасной компанией PRODAFT в апреле этого года. В отчёте были подробно изложены возможности фишингового комплекта отправлять SMS-фишинг (smishing) через Apple iMessage и RCS (Rich Communication Services) для Android.

Предполагается, что за сервисом стоит китайскоязычная хакерская группа XinXin (также известная как changqixinyun), которая также использует другие фишинговые комплекты, такие как Lighthouse и Darcula. Последний атрибуцирован к группе LARVA-246 (также известной как X667788X0 или xxhcvv), в то время как разработка Lighthouse приписывается LARVA-241 (также известной как Lao Wang или Wang Duo Yu).

Масштабные фишинговые кампании​

Платформа Lucid PhaaS позволяет клиентам запускать широкомасштабные фишинговые кампании, нацеленные на различные отрасли — транспорт, государственные учреждения, почтовые службы и финансовые организации.

Атаки используют различные фильтры, включая проверку мобильного User-Agent, страны прокси или даже специально заданного пути, чтобы только целевая жертва могла получить доступ к фишинговой ссылке. Всем остальным показывается поддельный интернет-магазин.

Всего Netcraft обнаружила фишинговые URL-адреса, нацеленные на 164 бренда из 63 стран, размещённые через платформу Lucid. В свою очередь, фишинговые ссылки Lighthouse атакуют 204 бренда из 50 стран.

Как и Lucid, Lighthouse предлагает настройку шаблонов, отслеживание жертв в реальном времени, и может создавать фишинговые шаблоны для более чем 200 платформ по всему миру. Цены на Lighthouse варьируются от 88 долларов в неделю до 1 588 долларов в год.

«Хотя Lighthouse работает независимо от группы XinXin, его схожесть с Lucid по инфраструктуре и модели атак подчёркивает общую тенденцию сотрудничества и инноваций в PhaaS-экосистеме», — отметили в PRODAFT в апреле.

Некоторые фишинговые кампании Lighthouse использовали ссылки, имитирующие албанскую почтовую службу Posta Shqiptare, при этом нецелевым пользователям также показывался фальшивый интернет-магазин — что может указывать на связь между Lucid и Lighthouse.

«Lucid и Lighthouse — примеры того, насколько стремительно могут развиваться подобные платформы и насколько сложно бывает их остановить», — сказал исследователь Netcraft Гарри Эверетт.

Возвращение к электронной почте и новые атаки​

По мере развития ситуации, компания Netcraft отмечает, что фишинговые атаки отказываются от использования Telegram и других мессенджеров для передачи украденных данных, так как эти каналы больше не считаются безопасными для киберпреступников.

На смену им возвращается электронная почта, через которую теперь массово похищают учётные данные. Только за месяц Netcraft зафиксировала рост на 25%.

Киберпреступники также начали использовать сторонние сервисы, такие как EmailJS, чтобы собирать логины и коды двухфакторной аутентификации (2FA) — без необходимости развёртывать собственную инфраструктуру.

«Это возвращение частично объясняется децентрализованным характером электронной почты, что усложняет блокировки», — сказал исследователь безопасности Пенн Макинтош. — «Каждый адрес или SMTP-ретранслятор нужно блокировать вручную, в отличие от централизованных платформ вроде Discord или Telegram. К тому же, создать одноразовый e-mail по-прежнему быстро, анонимно и практически бесплатно».

Атаки с поддельными доменами и вредоносными расширениями​

Исследователи также сообщили о появлении новых доменных имён-двойников, использующих японский символ хираганы "ん", который визуально напоминает символ «/». Эти атаки называются гомоглифными — они вводят в заблуждение, подделывая адреса легитимных сайтов.

Было выявлено не менее 600 доменов, использующих эту технику в атаках на пользователей криптовалютных кошельков, начиная с 25 ноября 2024 года.

Эти страницы маскируются под легитимные расширения в Chrome Web Store, побуждая пользователей установить фальшивые кошельки, такие как Phantom, Rabby, OKX, Coinbase, MetaMask, Exodus, PancakeSwap, Bitget и Trust. Цель — сбор информации о системе или начальных фраз (seed phrases), что позволяет атакующим полностью захватить контроль над кошельками жертв.

«На первый взгляд символ похож на косую черту ‘/’», — поясняет Netcraft. — «Когда он используется в доменном имени, отличить его крайне сложно. И именно в этом смысл фишинговых атак: сделать домен максимально правдоподобным».

Мошеннические "задания" и использование брендов​

В последние месяцы также выявлены мошеннические схемы, использующие бренды американских компаний — Delta Airlines, AMC Theatres, Universal Studios и Epic Records. Жертвам предлагают выполнять задания (например, бронирование авиабилетов) якобы для заработка.

Но перед началом работы пользователю предлагают внести депозит в криптовалюте на сумму не менее 100 долларов — что и становится источником дохода для мошенников.

Эта схема, по словам исследователя Netcraft Роба Дункана, показывает, как злоумышленники используют шаблоны имитации брендов через API, чтобы масштабировать мошеннические операции, ориентированные на финансовую выгоду, в разных отраслях.

- Источник: https://thehackernews.com/2025/09/17500-phishing-domains-target-316.html