Запрограммированная с помощью ИИ криптофишинговая операция нацелена на 885 000 телефонных номеров

Компания Rapid7 Labs раскрыла операцию ASTERIX, мошенническую схему в сфере криптовалют, которая использовала автоматизированные системы программирования для создания поддельных приложений Ledger, Trezor и Exodus.

Было установлено, что 43 066 телефонных номеров соответствуют реальным счетам на биржах. Любой пользователь, самостоятельно хранящий свою криптовалюту, является потенциальной целью. Операция еще продолжалась, когда исследователи ее обнаружили.

Неправильно настроенный сервер полностью вывел из строя весь сценарий действий

Исследователи Rapid7 Анна Широкова и Ян Речинский обнаружили на инфраструктуре предвыборной кампании уязвимый веб-каталог. Внутри него находились исходные материалы для проведения мошеннической операции в реальных условиях.

В отчете, опубликованном 17 августа, подробно описывался массив данных, включающий наборы телефонных номеров, инструменты проверки учетных записей, фишинговые панели, скрипты голосового набора, сами поддельные приложения-кошельки и код для перехвата украденных данных через Telegram.

Большая часть этих инструментов все еще использовалась или находилась в разработке, когда произошла утечка. Компания Rapid7 заявила, что может связаться с поставщиками и органами власти, включая команду безопасности Apple, во время проведения кампании.

Операция получила название в честь Asterisk, платформы телефонии с открытым исходным кодом, обнаруженной на сервере. Оператор использовал Asterisk для совершения фишинговых звонков, которые совпадали с поддельными электронными письмами службы поддержки, уже полученными жертвами.

В открытом телефонном справочнике насчитывалось около 885 000 телефонных номеров, а самый большой файл представлял собой коллекцию из 316 002 немецких мобильных номеров. В справочниках меньшего размера были представлены номера из Гонконга, Болгарии, Великобритании, США, канадских финтех-клиентов, а также списки, связанные с Ledger.

Затем операторы проверили эти немецкие данные с помощью программы проверки учетных записей и подтвердили, что 43 066 человек являются пользователями криптовалютных бирж. Это примерно 13,6% совпадений, то есть почти каждый седьмой.

Ещё одна группа из 5576 чисел была связана с аккаунтами Binance и подготовлена ​​для атаки. В отчёте также упоминались проверка Kraken и поддельные электронные письма, якобы отправленные от Crypto.com.

Количество подтвержденных целевых объектов не соответствует данным журналов активности. Восстановленные журналы показывают, что за период около двух недель было выполнено всего 20 запросов на поиск потенциальных клиентов.

Кроме того, было отправлено шесть фишинговых писем, что свидетельствует о том, что операторы предпочитали медленный, тщательно отобранный подход к таргетированию, а не обзванивали все номера.

Поддельные приложения запрашивали сид-фразу

Эти приложения имитируют Trezor Suite и Ledger Live, при этом также подделывается Exodus, и они просят пользователей ввести фразу восстановления из 12-24 слов, которая управляет аппаратным кошельком.

Эта фраза — главный ключ к средствам, и тот, кто её получит, сможет опустошить кошелёк. Украденные фразы затем были переданы через Telegram.

Компания Rapid7 обнаружила , что помощники по программированию на основе ИИ использовались на протяжении всего процесса разработки, а не только для генерации отдельных фрагментов кода.

Восстановленные командные строки, история командной оболочки и файлы проекта показывают, что оператор использует инструменты искусственного интеллекта для упаковки приложенийtron , обфускации кода, исправления сборок и подготовки вредоносного ПО к распространению.

В качестве инструмента использовался GitHub Copilot. Когда одна модель начала отказываться от выполнения отдельных частей работы, оператор сменил поставщика услуг и попытался взломать средства защиты следующей модели с помощью пользовательского запроса на джейлбрейк, сообщила компания Rapid7.

Ранее в августе компания Trezor предупредила 13 689 клиентов после того, как в результате взлома у ее партнера по доставке, компании ShipMonk, были раскрыты имена, электронные адреса, номера телефонов и адреса, как Cryptopolitan .

Ledger и Trezor также получили бумажные письма с QR-кодами, ведущими на фишинговые сайты, как Cryptopolitan еще в феврале.

Компания Hacken, специализирующаяся на безопасности блокчейна, сообщила, что фишинг и социальная инженерия стали причиной 306 миллионов долларов из 482 миллионов долларов убытков криптоиндустрии в первом квартале.