Специалисты по информационной безопасности профильной компании Netcraft сообщили о выявлении в теневом сегменте интернета фишингового сервиса Darcula, который состоит более чем из 20 000 доменов, имитирующих официальные сайты популярных брендов. Эти ресурсы нацелены на кражу различной конфиденциальной информации пользователей устройств, работающих на базе операционных систем Android и iOS.
Соответствующий фишинговый сервис, который распространяется по схеме «фишинг как услуга», от других аналогичных киберпреступных проектов отличается подходом, реализуемым в сфере дистрибуции фишинговых сообщений — вместо обычных SMS-сообщений хакеры используют RCS-протоколы (Rich Communication Services) для Google Messages и iMessage, из-за чего рассылаемые мошеннические письма выглядят максимально убедительными и могут обойти некоторые стандартные меры защиты, реализованные в операционных системах по умолчанию.
Заинтересованным киберпреступникам в рамках этого сервиса Darcula предлагается свыше 200 шаблонов для разработки фишинговых веб-страниц, имитирующих оформление и корпоративный стиль известных компаний, в том числе различных банковских учреждений, госструктур, телекоммуникационных организаций и авиакомпаний. Созданные с помощью этого фишингового сервиса веб-страницы отличаются действительно высоким качеством. В них используются местные языки, официальные логотипы и правдоподобный контент.
При работе с этим сервисом Darcula киберпреступники, которые покупают в теневом сегменте соответствующую услугу, могут выбрать бренд, который требуется имитировать, после чего необходимо запустить скрипт установки, с помощью которого разворачивается соответствующий фишинговый ресурс в Docker-окружении. Система применяет открытый регистр контейнеров Harbor для хостинга Docker-образа, а создание поддельных ресурсов ведётся на React.
По словам аналитиков из компании Netcraft, отказ киберпреступников от использования стандартных SMS-сообщений в пользу RCS и iMessage приводит к тому, что рассылаемые злоумышленниками фишинговые сообщения менее подвержены вероятным блокировкам на основе контента, благодаря тому что такие сообщения имеют поддержку сквозного шифрования.
Ещё по теме: