Анализ на смишинг комплект, който заобикаляше SMS двуфакторното удостоверяване

Предизвикателството

Смишинг кампания се представяше за национален портал за електронни услуги и плащане на глоби, за да събира платежни данни и данни за самоличност. Целта беше да се установи произходът на кампанията и да се съберат доказателства за премахване на злонамерената инфраструктура, без контакт с пострадали и без подаване на данни към нападателя.

Как се разви

1. Събрахме данни за инфраструктурата и копие на активния фишинг комплект. Изчислихме хешове на събраните материали и документирахме веригата им на съхранение.
2. Анализирахме комплекта чрез обратно инженерство. Той беше изграден като едностранично приложение; описахме стъпките, през които преминава жертвата, и всички полета, които събира.
3. Установихме извличане на данни в реално време през WebSocket към същия произход. Хостинг сървърът служеше и като сървър на оператора.
4. Препредаването на PIN и еднократни кодове показваше участие на оператор в реално време и позволяваше заобикаляне на SMS 2FA и 3-D Secure. Комплектът имаше интерактивни възможности, които надхвърляха статичните фишинг страници.
5. Свързахме инфраструктурата с операция за фишинг като услуга, използвана в няколко държави с различни примамки.

Въздействие

Кампанията крадеше масово данни за платежни карти и самоличност на граждани, като заобикаляше двуфакторното удостоверяване в реално време.

Резултат

Предадохме доказателства с изчислени хешове и документирана верига на съхранение, както и пакети със сигнали до регистратора, хостинг доставчика, националния CERT, операторите на браузърни списъци за блокиране и сертифициращия орган. Материалите бяха подготвени и за предаване на правоохранителните органи. Анализът се ограничи до събиране на доказателства; към инфраструктурата на нападателя не бяха подавани данни.