Des escrocs transforment les mini-applications Telegram en pièges à fraudes aux cryptomonnaies

FEMITBOT, un vaste réseau d'escroquerie, utilise la fonctionnalité Mini App de Telegram pour gérer de fausses plateformes de cryptomonnaies, usurper l'identité de marques connues et diffuser des logiciels malveillants Android. 

Selon CTM360, une entreprise de cybersécurité, cette opération frauduleuse utilise des bots Telegram et des mini-applications intégrées pour créer des interfaces d'hameçonnage qui se chargent directement dans le navigateur intégré de Telegram.

Les pages frauduleuses paraissent plus réalistes qu'un lien d'hameçonnage classique envoyé par e-mail ou SMS, car les victimes ne quittent jamais l'application de messagerie.

FEMITBOT utilise Telegram pour trouver des victimes

Les mini-applications Telegram sont de petites applications web qui fonctionnent au sein de l'interface WebView de Telegram.

Elles permettent aux utilisateurs d'effectuer des paiements, d'accéder à leurs comptes et d'utiliser des outils interactifs sans avoir à installer d'application ou de navigateur supplémentaire.

Les personnes qui gèrent FEMITBOT ont transformé cette facilité d'utilisation en une arme.

Lorsqu'une victime clique sur « Démarrer » sur l'un des faux bots, une mini-application s'ouvre, affichant une page d'hameçonnage qui ressemble à un tableau de bord d'investissement en cryptomonnaie.

Ces pages affichent de faux soldes de compte et de faux gains, et elles comportent souvent des comptes à rebours ou des offres à durée limitée destinées à inciter les gens à agir rapidement.

L'tracfinancière a lieu lors du processus de retrait.

Les personnes qui tentent d' cash leurs faux gains se voient dire qu'elles doivent d'abord déposer de l'argent réel ou effectuer des tâches de parrainage. C'est une méthode courante pour les arnaques aux frais préalables et les escroqueries à l'arrachage de porc.

FEMITBOT imite des marques à grande échelle

Les chercheurs en sécurité qualifient l'architecture de FEMITBOT de « modulaire et basée sur des modèles ».

Le système dorsal partagé permet aux opérateurs de modifier l'image de marque, les langues et les thèmes visuels des campagnes tout en conservant la même infrastructure.

Les chercheurs de CTM360 ont confirmé le lien en trouvant une chaîne de réponse API commune, « Bienvenue sur la plateforme FEMITBOT », renvoyée par plusieurs domaines d'hameçonnage.

Certaines de ces fausses marques provenaient du monde des cryptomonnaies, notamment Bitget, OKX, Binanceet MoonPay.

L'ampleur des usurpations d'identité suggère que l'opération vise à toucher un très grand nombre de personnes dans le monde entier.

Les campagnes utilisent également un système tracsimilaire à celui de la publicité.

« L’infrastructure observée intègre dans ses opérations des mécanismes tracdes conversions provenant de Meta Platforms (Facebook/Instagram) et de TikTok », ont écrit les chercheurs de CTM360.

Certaines mini-applications FEMITBOT utilisent tracpixels Meta et TikTok pour surveiller l'activité des utilisateurs, déterminer le taux de conversion et améliorer les performances de leurs campagnes, en utilisant des techniques directement issues du marketing numérique traditionnel.

Des escrocs distribuent des logiciels malveillants via de faux fichiers APK

Certaines mini-applications FEMITBOT ne se contentent pas de commettre des fraudes financières, elles diffusent également des logiciels malveillants Android qui ressemblent à de véritables applications.

Des chercheurs en sécurité ont découvert des fichiers APK qui prétendaient provenir de marques telles que Netflix, BBC, NVIDIA, CineTV, Coreweave et Claro.

L'entreprise a indiqué que les fichiers APK sont hébergés sur le même domaine que l'API de la campagne. Ceci garantit la validité des certificats TLS et évite l'affichage d'avertissements de sécurité dans le navigateur, qui pourraient alerter les victimes.

Il est demandé aux utilisateurs de télécharger manuellement les fichiers APK, d'ouvrir les liens dans le navigateur de l'application ou d'installer des applications web progressives qui ressemblent à de véritables logiciels.

Le composant malveillant de FEMITBOT est particulièrement dangereux pour les utilisateurs d'Android.

L'une des méthodes les plus courantes pour qu'un logiciel malveillant s'introduise sur votre téléphone est le chargement latéral de fichiers APK depuis l'extérieur du Google Play Store.

L'utilisation par FEMITBOT de certificats TLS identiques rend ses téléchargements plus difficiles à distinguer des fichiers réels au premier coup d'œil.

Si un bot Telegram incite les utilisateurs à investir dans les cryptomonnaies, affiche des rendements irréalistes ou exige qu'ils déposent de l'argent avant de pouvoir retirer leurs fonds, ils doivent se méfier.

Les comptes à rebours, le langage urgent et les exigences de recommandation sont autant de signes de fraude aux frais préalables.