Статья Фишинг через QR-коды: оффлайн и онлайн-реализации

[bratva]

По мотивам новости: Чашка чая обошлась женщине из Сингапура в 1,5 миллиона рублей.

Два наиважнейших элемента в любом фишинге: психология жертвы фишинга (доверие к вашей легенде) + техническая реализация (а именно: максимально тихая работа, во избежание любых автоматизированных трекеров).
Упрощая: текст и оформление письма + переход по ссылке. Почти все эффективные решения выделяются нестандартным подходом к двум этим элементам.

1. Фейк от "китайского минестерства финансов" + .docx в аттаче с QR-кодом.

Я очень давно и внимательно наблюдаю за нашими азиатскими коллегами - как APT с гос корнями, так и местными мошенниками по двум причинам:

1) В Азии очень сильно развит екоммерц с платежками и весь рынок фактически изолирован от всего мира, при этом всегда можно найти что-то общее, что можно применить и у нас (у нас - Европа и США).

2) Никому не интересно расследовать азиатских киберпреступников, если они замкнуты в своем мирке:
- огромные расходы на переводы, нужны местные люди,
- местная полиция не так охотно сотрудничает с иностранцами (там исторически очень национализм развит, сложно найти бродягу из местного ЦИБ ФСБ, кто все сольет),
- сами киберпреступники - предпочитают работать без форумов и в своей экосистеме местных мессенджеров (т.е. тоже изолированы от всего мира).

Т.е. тема с "нашел старый емейл на домене с домейн.тулз", а затем определил соответствующией аккаунт в дампе взломанного хак-форума, следом сотрудник с ЦИБ ФСБ помог провести факт-чекинг, и в конце я радостно запостил мега-отчет расследование - не работает. Прости, Браян Кребс!

В предыдущих строках самое важное слово "изолированы". Когда люди "изолированы" (речь не о тюрьме, лол, и не о кодерах Конти в уютном офисе) - им очень часто в голову приходят оригинальные идеи, которые можно скопировать и применить для других рынков.

Фишинг-емэйл

Обратите внимание: что текст абсолютно минимальный.

В переводе с английского:
Тема: "Re: Уведомление о подаче заявления на получение личных трудовых субсидий в 2022".
Тело письма: "Пожалуйста, нажмите на приложенное уведомление от Министерства Финансов о подаче заявления на получение личных трудовых субсидий в четвертом квартале 2022!".
Название приложенного файла: "Forward: Уведомление о подаче заявления на получение личных трудовых субсидий в четвертом квартале 2022.docx.”

Аттач .docx к письму

Если открыть файл из аттача, то мы увидим текст и большой QR-код в центре сообщения:

Перевод на английский легенды:

QR код

QR код всегда требует, чтобы приложение прочитало его и затем выполнило какое-нибудь действие. Большинство мобильных устройств читают QR-коды через камеру и функция чтения QR-кодов, как правило, доступна по-умолчанию с предустановленными приложениями.

Обратите внимание на логотип в центре QR-кода, что повторяет официальную эмблему китайского министерства финансов, чтобы выглядеть более официальным.


QR-код, повторяющий логотип WeChat (самый распространенный мессенджер в Китае).

Во всех случах QR-код в приложенных документах Microsoft Word содержит в себе ссылку для перехода на фейк. Независимо от того, использовал ли пользователь десктоп или мобильное устройство, он переходил на фишинговую страницу, контролируемую злоумышленниками.

Фишинговая страница

Во всех случах фейк имитировал приложение DingTalk. DingTalk - широко используемая платформа для корпоративных коммуникаций, разработанная Alibaba Group. Учитывая распространенность платформы, большое количество ее пользователей, собранные данные наверняка будут представлять ценность для киберпреступников.

Фейк страница, имитирующая DingTalk мессенджер

Перевод на английский.

Пользователь видит поп-ап с сообщением, что его DingTalk-аккаунт может быть заморожен в течение следующих 24 часов за некие нарушения бизнес-соглашения, если пользователь не пройдет верификацию.

После подтверждения сообщения пользователь видит форму для ввода своих данных, чтобы решить проблему.

Ввод данных

Перевод на английский

Выводы
Я предлагаю обратить внимание на следующие моменты в легенде и ее реализации:
- организация, от которой якобы идет рассылка - Министерство Финансов + реалистичный повод, чтобы таргет-жертва открыла письмо (заморозка аккаунта)
- полное отсутствие прямых ссылок в письме + использование QR-кодов (которые может использовать и реальное Министерство Финансов)
- фейк-страница, имитирующая распространенный мессенджер (всегда эффективнее фишить готовые приложения, чем обычные логин-страницы)
- жесткая мотивация действия: заморозка аккаунта (старый проверенный способ ввести данные особо не задумываясь)
- маленькие рюшечки - как логотип WeChat или Министерства Финансов на QR-коде (на моем опыте - такие мелочи очень помогают усилить доверие к легенде)

Источники:
Основная статья: https://www.fortinet.com/blog/threa...steal-credentials-from-chinese-language-users
Пример кампании той же группы с другими лендингами: https://www.cyren.com/blog/articles/phishing-with-qr-codes

P. S. Чуть позже продолжу с другими примерами.

 

[bratva]

2. Инцидент с фишингом немецких банков через QR-коды​

Я думаю, что после американцев, немцы на втором заслуженном месте нации, кто обычно является жертвой фишинга Никогда не забуду, как немцы добросовестно и старательно вводили все свои ТАН-коды на моих фишинг-страницах в далеком прошлом

Ниже быстрый обзор кампании, направленной на фишинг Sparkasse и Volksbanken Raiffeisenbanken акков из 2021 года.

Форма фишинг урла: hxxps://{spk/vr}-{random German word(s)}.com/{10 alphanumeric characters}
“spk” для Sparkasse или “vr” для Volksbanken Raiffeisenbanken

Практически все домены для кампании были зарегистрированы на Reg.Ru.
Фишинговые страницы с QR-кодами были с таргетом на мобильных пользователей банков.

Письмо с QR-кодом для Volksbanken Raiffeisenbanken

Письмо с QR-кодом для Sparkasse

Фишинг страницы выполнены по одной схеме: сначала пользователей просят указать регион их банка или его банковский BLZ код (скриншот 1 и 2), после запрашивается имя пользователя и пин (скриншот 3 и 4). Как только эта информация введена, появится страница с сообщением проверки данных и затем загружается страница аутентификации с просьбой ввода логина и пароля с предупреждением, что введенные данные не верны (старая добрая тактика).

1. Регион банка или BLZ код для Sparkasse

2. Регион банка или BLZ код для Volksbanken Raiffeisenbanken

3. Логин-страница для для Sparkasse

4. Логин-страница для Volksbanken Raiffeisenbanken

5. Проверка данных для Sparkasse

6. Проверка данных для Volksbanken Raiffeisenbanken

Пример кампании из 2021, но лишнее подтверждение того, что даже классический банковский фишинг НЕ УМЕР

Оригинальный репорт: https://cofense.com/blog/german-users-targeted-in-digital-bank-heist-phishing-campaigns/

 

[bratva]

3. Переклейка стикеров с QR-кодами в оффлайне.

Впервые схема была обкатана в Хьюстоне, Техасе в январе прошлого года. Но судя по новым сообщениям - активная кампания наблюдается в том числе в Сан Франциско.

1) Техасская схема.

Официальная система не использует QR-стикеры, что не помешало приклеить их на паркоматы:

2) При сканировании QR-кода осуществлялся переход на сайт passportlab.xyz с фейком, подключенным к реальному мерчанту Stripe:

Сколько удалось собрать денег до блока мерчанта, история умалчивает

2) Схема в Сан-Франциско.
На мой взгляд, данная реализация более изящна, скамеры оставляли фейковые паркинг-тикеты на самих тачках:

Косяк был, что тикет за 4 мая был с датой за пятое Что и привлекло внимание "нарушителя".

Ссылка на QR-коде сначала вела на сокращатель ссылок: hxxps://qr.link/g43phs, затем на сам фейк hxxps://sfmta-project.vercel.app

Слева фейк - справа настоящий сайт

Фейк на этот раз был подключен к Square. Аналогичная схема также активна в Великобритании (с фишингом сайта PayByPhone).

Источники:

QR code scammers hitting on-street parking in Texas cities -- including Houston, officials say; This is what you need to know

The City of Houston urges the public to be aware of a scam involving fraudulent QR codes being affixed to on-street parking pay stations.

www.click2houston.com

https://www.bleepingcomputer[.]com/...-parking-tickets-surveys-to-steal-your-money/

 

[famekid]

всегда было интересно че они там делают в Сингапуре с этими иероглифами
спасибо за инфу

 

[BLUA]

Теперь понятно, кто в мск на самокаты их клеит

 

[famekid]

Теперь понятно, кто в мск на самокаты их клеит

ahahahahah

 

[gliderexpert]

Похожая тема - в ру на самокаты клеят фейковые QRы

СамокаÑÑ Ð·Ð°Ð¿ÑÑалиÑÑ Ð² QR-кодаÑ

ЧÑо извеÑÑно о поÑвлении подделÑнÑÑ Ð½Ð°ÐºÐ»ÐµÐµÐº на кикÑеÑинговÑÑ Ð¡ÐÐ

www.kommersant.ru

Интересно, как выглядит фейковый лендинг на который ведет ссылка.

 

[BLUA]

Похожая тема - в ру на самокаты клеят фейковые QRы

СамокаÑÑ Ð·Ð°Ð¿ÑÑалиÑÑ Ð² QR-кодаÑ

ЧÑо извеÑÑно о поÑвлении подделÑнÑÑ Ð½Ð°ÐºÐ»ÐµÐµÐº на кикÑеÑинговÑÑ Ð¡ÐÐ

www.kommersant.ru

Интересно, как выглядит фейковый лендинг на который ведет ссылка.

а я про что

 

[gliderexpert]

одновременно написали )

 

[trafoman]

достойная статья тс

 

[bratva]

Интересно, как выглядит фейковый лендинг на который ведет ссылка.

Не утверждаю на 100%, что это так, но возможно там и не было никакого фишинга, а QR-стикеры использовались для редиректа на шопы Меги и Кракена. Прямых подтверждений этой идеи найти не могу, как и каких-либо конкретных доменов фишинг-страниц, что несколько странно.

 

[bratva]

4. Развод на крипту с помощью фальшивых генераторов QR-кодов.

До внедрения оплаты через QR-коды для своего сервиса специалисты ZenGo wallet решили расследовать сообщения о мошенничестве с QR-кодами, чтобы понять риски. К своему удивлению, они обнаружили, что как минимум 4 из 5 результатов в топе Гугла по запросы bitcoin qr generator - это сайты мошенников.

Эти сайты генерируют QR-код с адресом криптокошелька мошенников, а не пользователя сайта. Тем самым любой перевод с помощью такого QR-кода приводит к потере средств.

Для того, чтобы бороться с этим явлением и предупредить пользователей, представители ZenGo решили поделиться своими находками с общественностью.

Результат выдачи Гугла по запросу "bitcoin qr generator": 2 и 3 результат - мошенники!

QR-коды в крипте

Оплата с помощью QR-кода

Согласно странице сайта cryptocurrencyfacts.com: “Оплата с помощью QR-кода - это простой, быстрый и безопасный способ поделиться адресом криптокошелька при переводе криптовалюты между различными устройствами. Это особенно удобно при личных и оффлайн-сделках, когда копи-паст кошелька может отнять много времени и привести к проблемам в случае опечаток при ручном ввода адреса.

• Получателю нужно показать QR-код с адресом своего криптокошелька, куда он желает получить криптовалюту. Код генерируется с помощью специального приложения - от платежной компании или с помощью приложения криптокошелька.
• Отправителю нужно лишь отсканировать QR-код. Отправитель открывает приложение криптокошелька с необходимой для перевода суммой, вводит сумму платежа, выбирает опцию оплаты с помощью QR-кода, сканирует QR-код получателя, проверяет корректность информации (сумма и адрес для перевода) и затем подтверждает оплату.

Схема мошенничества

Схема до идиотизма простая. Генератор QR-кодов мошенников показывает QR-код с адресом своего риптокошелька мошенников вместо криптокошелька пользователя сайта.

Мы сгенерировали QR-код для адреса: 18Vm8AvDr9Bkvij6UfVR7MerCyrz3KS3h4

Запрашиваем QR-код для адреса 18Vm8AvDr9Bkvij6UfVR7MerCyrz3KS3h4

Но по итогу мы получаем QR-код для совершенно другого адреса:

Результат: адрес 17bCMmLmWayKGCH678cHQETJFjhBR44Hjx

Интересное наблюдение из скриншота выше, что мошенники даже не заморачиваются с генерацией QR-кода своими силами, а бесстыдно отсылают запрос к API blockchain explorer (https://blockchain.info/qr?data=17bCMmLmWayKGCH678cHQETJFjhBR44Hjx&size=200), чтобы сгенерировать QR-код со своим адресом.

Дополнительные уловки в этой схеме

Некоторые мошенники не только генерируют QR-код со своим адресом, но также используют дополнительные уловки для своей схемы:

• Смена формата адреса: Bitcoin поддерживает несколько форматов адреса. Обычные адреса начинаются с ‘1’, адреса для оплаты с помощью скриптов с ‘3’ и Bech32 адреса начинаются с ‘bc’. По этой причине некоторые мошеннические сайты предпочитают создавать адрес для приема платежей жертвы в том же формате, что и адрес самой жертвы. Возможно для того, чтобы при быстрой проверки адреса = иной формат не бросился в глаза.
• Смена адреса в буфере обмена: Некоторые мошеннические сайты помещают свой адрес в буфер обмена на случай возможной проверки адреса жертвой через буфер обмена, т.е. сценарий когда жертва копирует собственный адрес в буфер, затем вставляет его куда-то и думает, что введенный адрес - это адрес ее кошелька, что был скопирован ранее.

Код Javascript, используемый для обоих трюков: поддержка формата кошелька жертвы и манипуляции с буфером обмена

Успешны ли эти разводы? Да!

Так как блокчейн биткойна публичен, мы можем проверить статистику переводов с адресов мошенников, используемых для этой схемы.

Один адрес был активен два месяца, итого: 21 перевод, с общей суммой профита 0.58 BTC (источник: blockchain.com)

Мошенники сналили деньги: вывод средств с адресов

На момент расследования баланс адресов, которые мы наблюдали был около $20K. Мы предполагаем, что это только верхушка айсберга, так как очевидно, что мошенники стараются генерировать как можно больше адресов для избежания их листинга в черных списках и возможных расследований деятельности мошенников.

Рекомендации для терпил

Если вам нужно сгенерировать QR-код для адреса своего криптокошелька:

• Не используйте Гугл для поиска сервиса! Если вам нужен QR-код, используйте доверенный (авторитетный) сервис, например, известный блокчейн explorer
• Перепроверяйте данные: До того как вы расшарили QR-код с кем-то, просканируйте его сами с помощью приложения вашего кошелька и проверьте адрес криптокошелька в коде - соответствует ли он вашему.
• Используйте сервисы аналитики: существуют специальные плагины для браузера (например, решение от MetaCert - Cryptonite) - вы будете получать уведомления о мошеннических сайтах и адресах-кошельков, но это конечно не панацея (см. предыдущие две рекомендации).

Адреса и сайты мошенников, которые были исследованы для этой статьи

Ссылка	Криптоадрес
hxxps://bitcoinqrcodegenerator.net/	17bCMmLmWayKGCH678cHQETJFjhBR44Hjx
hxxps://btcfrog.com/	14ZGdFRaCN8wkNrHpiYLygipcLoGfvUAtg, 35mJx4EeEY7Lnkxvg1Swn1eSUN1TtQsQ3, bc1qs4hcuqcv4e5lcd43f4jsvyx206nzkh4az05nds
hxxps://bitcoin-qr-code.net	1KrHRyK9TKNU4eR5nhJdTV6rmBpmuU3dGw
hxxps://mybitcoinqrcode.com/	1Gg9VZe1E4XTLsmrTnB72QrsiHXKbcmBRX

Выводы​

QR-код - это простой способ поделиться своим кошельком. Но, из-за того, что QR-коды не могут быть прочитаны вами, это открывает широкие возможности для мошенников. Мошенничество может быть реализовано на стадии получения перевода криптовалюты - когда генерируется QR-код с адресом кошелька для покупателя. Существует также множество схем, когда вы сами отправляете криптовалюту - например, с помощью поддельных приложений криптокошельков или махинации с QR-кодами на вашей (клиентской) стороне.

Мы уверены, что мошенничество с QR-кодами имеет большое будущее и сообщество криптоэнтузиастов должно решать эту проблему совместно для лучшей защиты всего криптосообщества (успехов, лол).

Оригинал статьи: https://zengo.com/qr-code-degenerators/

P. S. Это только одна схема мошенничества в разрезе крипты, постараюсь осветить и другие. Тем не менее она простая и изящная (без_хyйни, все как я люблю), если немножко подумать головой - ее можно сделать куда более изощренной.

 

[BLUA]

Красиво, спасибо за труды

 

[bratva]

5. Фишинг Tether (USDT) и схема с фальшивым WalletConnect

Tether остается крупнейшим из всех стейблкойнов (валюты, курс которых привязан к фиату или другим биржевым твоварам, чтобы снизить риски скачков курсов при инвестициях). И как многие знают, Tether привязан к доллару США.

Невероятно, но факт: больше 1 миллиона USDT! Источник

Мошенники рассылали смс-сообщения жертвам с сообщением, что на их аккаунте больше 1 миллиона USDT (или иными словами - больше 1 миллиона долларов, так как курс 1:1). Сообщение мотивировало многих нажимать на ссылку, которая вела на фишинговую страницу (замазана на скриншоте).

usdtjcoin[.]com — ссылка фишинг-страницу

По нажатию на ссылку загружалась фишинговая страница - usdtjcoin[.]com. Жертвы, кто ввел логин и пароль из смс и залогинился на сайте, получали инструкцию о необходимости оплатить комиссию, прежде чем сумма с аккаунта будет доступна для вывода (миллион USDT, да).

Как вы уже догадались, никакого реального баланса с миллионом USDT не было, и весь развод заключается лишь в оплате комиссии жертвой. Очередная вариация нигерийской схемы, основанной на жадности терпилы.

Схема с фальшивым WalletConnect

WalletConnect - это проверенный сервис, предлагающий подключить криптовалютные кошельки к децентрализованным приложениям (пример с Хабра: DApp + Metamask). К сожалению, последнее время наблюдается тенденция, когда мошенники создают фальшивые сайты WalletConnect в попытках заставить жертву раскрыть сиды, JSON файлы Keystore или сами ключи от их криптокошельков.

Пример фишингового письма

В этом случае мошенники рассылают потенциальным жертвам электронные письма якобы от WalletConnect, информируя их о необходимости переподключить криптокошельки к сайту WalletConnect, чтобы избежать блокировку аккаунта — классический пример запугивания, когда жертву вынуждают выполнить быстрые и необдуманные действия.

Фальшивый WalletConnect сайт

Когда жертва открывает фишинговую ссылку из письма, то она переходит на фальшивый сайт WalletConnect со скриншота выше. Любопытно, что в случае сканирования QR-кода на фальшивом сайте - открывался реальный сайт WalletConnect (walletconnect.com).

Цель фишинговой страницы - получить личные данные пользователей от их криптокошельков. Мошенники за схемой не сильно заморачивались с тем, с какого криптокошелька они собираются украсть деньги - на фишинговой странице представлен огромный их выбор:

После перехода по иконке какого-либо сервиса криптокошельков, пользователи попадали на сайт, где им предлагали заполнить сид-фразы от кошелька, файлы Keystore JSON или личные ключи от кошелька — по итогу любой из этих вариантов приведет к тому, что криптокошелек будет скомпроментирован и средства с него оперативно выведены.

Источник: https://news.trendmicro.com/2022/06/10/tether-usdt-phishing-fake-walletconnect-scam/

Год назад обе схемы были довольно заметны. Не хотел их даже по этой причине постить, но все таки решил добавить их сюда, так как мне кажется, что парни проигнорировали возможности более успешной работы по схеме, если бы они больше внимания уделили QR-кодам.

Кто прочитал предыдующие посты из темы, думаю, уже поняли в каком ключе все можно доработать