Przeprowadzona została dogłębna analiza techniczna tejże kampanii. Stwierdzono, że dane wprowadzane przez ofiary w formularzu są przesyłane na serwer za pomocą szyfrowanej komunikacji websocket. Mimo iż komunikacja była w pełni zaszyfrowana, udało się ją odszyfrować, co ujawniło mechanizm działania kampanii. Wykorzystano algorytm szyfrowania Rabbit z kluczami „web-msg-sender-darcula” oraz „__my_store_key_darcula_is_666”.
Badania wykazały, że po wpisaniu dowolnej informacji w formularz, dane są natychmiastowo przesyłane na serwer bez potrzeby dodatkowego potwierdzania przez użytkownika. Ponadto, zauważyliśmy, że serwer nieustannie monitoruje liczbę aktywnych użytkowników na stronie, która zazwyczaj waha się w zakresie od 10 do 20. Analiza pakietów websocket ujawniła specyficzne komunikaty wysyłane do serwera, w tym identyfikację administratorów.
W artykule szczegółowo omówiony został proces deobfuskacji kodu JavaScript i odszyfrowania danych przesyłanych przez websocket. Przykładowe odszyfrowane dane zawierają informacje o stanie strony, przeglądarce użytkownika oraz dane wprowadzone w formularzu. Odkrycia pokazują, że kampania jest dobrze zorganizowana i wykorzystuje zaawansowane techniki do wykradania danych osobowych od nieświadomych użytkowników.
Phishing jest jednym z najbardziej rozpowszechnionych i niebezpiecznych cyberzagrożeń, które stale ewoluują w celu uniknięcia wykrycia przez systemy zabezpieczeń. W niniejszym artykule przedstawiamy szczegółową analizę kampanii phishingowej, która wykorzystuje wiadomości SMS do przekierowywania ofiar na fałszywą stronę internetową, podszywającą się pod firmę kurierską. Kampania ta cechuje się zaawansowanymi technikami socjotechnicznymi oraz technologicznymi, w tym szyfrowaną komunikacją poprzez websocket.
Kampania phishingowa rozpoczyna się od wysłania wiadomości SMS do potencjalnych ofiar. Wiadomość ta zawiera link, który po kliknięciu przekierowuje użytkownika na stronę internetową podszywającą się pod znaną firmę kurierską. Strona informuje użytkownika o rzekomych problemach z jego zamówieniem, co ma na celu wzbudzenie niepokoju i skłonienie go do podania swoich danych osobowych i finansowych.
Po kliknięciu w link w wiadomości SMS, użytkownik jest przekierowywany na stronę phishingową, która akceptuje tylko ruch z urządzeń mobilnych lub ich emulatorów. Strona zawiera formularz, w którym użytkownik proszony jest o podanie takich danych jak imię, nazwisko, adres zamieszkania, numer karty płatniczej oraz inne informacje osobiste. Po wprowadzeniu danych, są one natychmiastowo przesyłane na serwer za pomocą szyfrowanej komunikacji websocket.
Za pomocą pasywnej replikacji DNS znaleziono inne, równie podejrzane strony, które prawdopodobnie zostały zarejestrowane wcześniej, przez tą samą grupę.
Komunikacja między stroną phishingową a serwerem odbywa się za pomocą websocket, a dane są szyfrowane algorytmem Rabbit. Podczas analizy statycznej kodu javascript, że wykorzystano dwa klucze szyfrujące: „web-msg-sender-darcula” oraz „__my_store_key_darcula_is_666”. Pomimo szyfrowania, udało się zdeszyfrować komunikację i zidentyfikować przesyłane dane.
Pierwszym krokiem w analizie technicznej było deobfuskowanie plików JavaScript, co pozwoliło nam zrozumieć mechanizmy szyfrowania używane w kampanii. Wykorzystano bibliotekę CryptoJS do szyfrowania danych algorytmem Rabbit. Kluczowe linijki kodu odpowiedzialne za szyfrowanie i deszyfrowanie danych przedstawiono poniżej:
Udało się odszyfrować komunikację websocket, co pozwoliło na pełne zrozumienie przesyłanych danych. Przykładowe odszyfrowane dane z komunikacji websocket przedstawiono poniżej:
Jednym z interesujących aspektów kampanii było monitorowanie liczby aktywnych użytkowników na stronie. Liczba ta była przesyłana na serwer za pomocą websocket, a przykładowy komunikat wyglądał następująco:
42[„online-count-user”,7,”user-bQpQaCnbFlpEWQpmACv0″,true]
Kiedy na stronie pojawiał się administrator, komunikat zmieniał się na:
432[{„admin-a87ff679a2f3e71d9181a67b7542122c”:true}]
Podczas analizy zaobserwowano, że serwer przesyłał zaszyfrowane komunikaty sync-data, na które przeglądarka użytkownika również odpowiadała zaszyfrowanymi danymi. Przykładowa wiadomość sync-data po odszyfrowaniu przedstawiała się następująco:
Analiza kampanii phishingowej ujawniła zaawansowane techniki wykorzystywane przez cyberprzestępców do kradzieży danych osobowych i finansowych. Kampania była dobrze zorganizowana, wykorzystując zarówno socjotechnikę, jak i zaawansowane techniki szyfrowania do ochrony komunikacji między ofiarą a serwerem.
