Maggio 5, 2024
Sicurezza informatica

Gli hacker cinesi utilizzano 42.000 domini impostori in una massiccia campagna di attacchi di phishing

L'attore della minaccia ha registrato oltre 42.000 domini impostori

Un gruppo finanziariamente motivato con sede in Cina sta sfruttando la fiducia associata a famosi marchi internazionali per orchestrare una campagna di phishing su larga scala che risale al 2019.

Si dice che l'attore della minaccia, soprannominato Fangxiao da Cyjax, abbia registrato oltre 42.000 domini impostori, con un'attività iniziale osservata nel 2017.

"Si rivolge alle aziende in più verticali tra cui vendita al dettaglio, banche, viaggi ed energia", hanno affermato i ricercatori Emily Dennison e Alana Witten. "Gli incentivi finanziari o fisici promessi vengono utilizzati per indurre le vittime a diffondere ulteriormente la campagna tramite WhatsApp".

domini impostori
Fonte immagine- Utilizzare

Agli Utenti viene inviato un messaggio con un collegamento e, cliccando sul collegamento, vengono indirizzati a un sito controllato da un attore, che a sua volta li invia a un dominio di destinazione che impersona un noto marchio, da dove le vittime sono nuovamente portato a siti che distribuiscono app fraudolente e premi fasulli.

Questi siti invitano i visitatori a completare un sondaggio per richiedere premi in denaro, in cambio del quale viene chiesto loro di inoltrare il messaggio a cinque gruppi o 20 amici. Il reindirizzamento finale, tuttavia, dipende dall'indirizzo IP della vittima e dalla stringa User-Agent del browser.

Più di 400 organizzazioni, tra cui Emirates, Shopee, Unilever, Indomie, Coca-Cola, McDonald's e Knorr, vengono imitate come parte del piano criminale, hanno affermato i ricercatori.

In alternativa, è stato osservato che gli attacchi in cui si fa clic su annunci mobili fraudolenti da un dispositivo Android culminano nella distribuzione di un trojan mobile chiamato Triada, che è stato recentemente individuato propagarsi tramite app WhatsApp false.

Non è solo Triada, poiché un'altra destinazione della campagna è l'elenco di Google Play Store di un'app chiamata “App Booster Lite – RAM Booster” che ha oltre 10 milioni di download.

L'app, realizzata da uno sviluppatore con sede in Cechia noto come LocoMind, è descritta come un "potente potenziamento del telefono", "Smart Junk Cleaner" e un "efficace risparmio della batteria".

Le recensioni per l'app hanno richiamato l'editore per aver mostrato troppi annunci e hanno persino sottolineato che "sono arrivati qui [la pagina del Play Store] da uno di quegli annunci 'il tuo Android è danneggiato x%'".

"La nostra app non può diffondere virus", LocoMind ha risposto alla recensione il 31 ottobre 2022. "Ciascuno dei nostri aggiornamenti è controllato da Google Play: per questo motivo avrebbero rimosso la nostra app molto tempo fa".

Se la stessa azione viene eseguita da un dispositivo con iOS, la vittima viene reindirizzata su Amazon tramite un link di affiliazione, guadagnando all'attore una commissione per ogni acquisto sulla piattaforma di e-commerce effettuato nelle successive 24 ore.

Le connessioni con la Cina dell'autore della minaccia derivano dalla presenza di testo in mandarino in un servizio Web associato a aaPanel, un pannello di controllo open source basato su Python per l'hosting di più siti Web.

Un'ulteriore analisi dei certificati TLS rilasciati ai domini del sondaggio nel 2021 e nel 2022 rivela che la maggior parte delle registrazioni si sovrappone al fuso orario UTC+08:00, che corrisponde all'ora solare cinese dalle 9:00 alle 23:00

"Gli operatori hanno esperienza nella gestione di questo tipo di campagne di impostori, disposti a essere dinamici per raggiungere i propri obiettivi e tecnicamente e logisticamente in grado di ridimensionarsi per espandere la propria attività", hanno affermato i ricercatori.

"Le campagne Fangxiao sono efficaci metodi di generazione di lead che sono stati reindirizzati a vari domini, dal malware, ai link di riferimento, agli annunci e agli adware".

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

it_ITItaliano