الفئة:

استخبارات الخصم

الصناعة:

العملة المشفرة

نوع التهديد:

تصيد/نطاق مزيف

المصدر*:

عملة البيض

 

ملخص تنفيذي

• كلاود سيكاكتشف فريق Threat Analyst مخططًا خبيثًا مستمرًا يتضمن نطاقات بوابات دفع متعددة وتطبيقات تعمل بنظام Android، يُستخدم لجذب الأفراد غير المرتابين إلى عملية احتيال جماعية تتعلق بالمقامرة.
• خلال فترة التحقيق، حدد باحثو CloudSek العديد من المجالات المزيفة باستخدام الكلمة الرئيسية «CoinEgg» واستهدفت مستخدمي منصة تداول العملات المشفرة الشرعية (https://www.coinegg.com).
• ووجد التحقيق أيضًا أنه بمجرد إزالة نطاق مزيف، تتواصل مجموعة التهديد بنفس الشيء مع الضحايا غير المرتابين عبر البريد الإلكتروني وتوفر نطاقات بديلة للوصول إلى بورصة العملات المشفرة.
• عملة البيض هي بورصة كبيرة للعملات المشفرة مقرها في المملكة المتحدة، وتقدم خدمات تداول لأصول العملة المشفرة الرقمية.

[معرف التسمية التوضيحية = «المرفق _19548" align= «alignnone» width="948"] نطاقات CoinEgg المزيفة التي تظهر على بحث Google [/caption]

التحليل والإسناد

كيف تعمل عملية احتيال CoinEgg

• اكتشف تحقيق باحثي CloudSek أن عملية احتيال العملة المشفرة على CoinEgg تم إجراؤها من قبل الجهات الفاعلة في مجال التهديد على مراحل متعددة. إنهم يتنكرون كمنصة تداول العملات المشفرة CoinEgg الشرعية من خلال تكرار لوحة التحكم وواجهة المستخدم للموقع الرسمي، على نطاقات وهمية من CoinEgg VIP.
• في المرحلة الأولى من عملية الاحتيال، يتم خداع مستخدمي CoinEgg لإيداع مبلغ في المحفظة المزيفة، لاستثماره في عملة مشفرة مدرجة. بعد ذلك، تقوم الجهات الفاعلة في مجال التهديد بتجميد المبلغ في محفظة CoinEgg VIP وتمنع المستخدمين من استرجاعها.
• يتم أيضًا نشر العديد من تطبيقات التصيد الاحتيالي المزيفة على الويب، مدعية أنها CoinEgg. بشكل عام، تتطلب هذه التطبيقات، عند التثبيت، أذونات غير مرغوب فيها ويتم الإبلاغ عنها على أنها ضارة على منصات مختلفة.
• قامت الجهات الفاعلة في مجال التهديد بإنشاء العديد من نطاقات CoinEgg المزيفة حتى الآن حتى لا تؤثر إزالة أي من هذه النطاقات على حملتها الضارة.
• عندما تقوم الجهات الفاعلة في مجال التهديد بتبديل النطاقات، فإنها تستخدم البريد الإلكتروني والتلغرام للتواصل مع المستخدمين، بحيث لا يتم اكتشاف عملية الاحتيال واسعة النطاق.

معلومات من البريد

في عملية خداع المستخدمين المطمئنين، يقوم المشغلون وراء CoinEgg VIP بتنفيذ الشروط التالية:

• يجب على العملاء دفع 22٪ من أرباحهم/ودائعهم «كضريبة»، قبل أن يتمكنوا من استعادة أموالهم.
• فرض «الإيداع»، إذا تجاوزت أرباح الحساب 250,000 دولار أمريكي.
• التجميد الدائم للأصول، في حالة عدم استيفاء الشروط المذكورة أعلاه.

بسبب هذه الظروف، أثار عملاء CoinEgg VIP مخاوف بشأن عمليات موقع تداول العملات المشفرة المشبوه، على منصات متعددة. علاوة على ذلك، فإن وكالات التحقيق المشبوهة تدعم أيضًا هذه الاتهامات، ووعدت بمساعدة ضحايا الاحتيال، لاستعادة أصولهم المجمدة. في ذريعة التحقيق، يُطلب من الضحايا تقديم معلومات الأصول وصور بطاقة الهوية، من خلال التواصل عبر البريد الإلكتروني.

[معرف التسمية التوضيحية = «المرفق _19549" align= «alignnone» width="1596"] بريد من وكالة التحقيقات المشبوهة التي يطلق عليها اسم «المركز العالمي لمكافحة الاحتيال» [/caption] [caption id="attachment_19550" align= «alignnone» width="1728"] الصفحة الرئيسية للموقع الإلكتروني https://www[.]ceggcc[.]vip[/caption]

معلومات من OSINT

من بحث Google العام عن الكلمة الرئيسية «CoinEgg»» باستخدام نطاق المستوى الأعلى (TLD) «vip»، اكتشف باحثو CloudSek العديد من مواقع الويب التي من المرجح أن يستخدمها المحتالون.

قائمة النطاقات المشبوهة من OSINT

اكتشف باحثو CloudSek القائمة التالية لنطاقات CoinEgg المزيفة وتفاصيلها:

اسم النطاقتاريخ التسجيلأمين السجلhttps [:] //coinegg [.] Fun24/09/2019 GoDaddyhttps [:] //coinegg [.] النادي 26/09/2021HitchinaHTTPS [:] //m [.] ceggca [.] VIP03/03/2022 GoDaddy France https [:] //m [.] ceggccs [.] VIP03/03/2022 GoDaddy Australia https [:] //www [.] ceggi [.] VIP 22/01/2022 اسم رخيص HTTPS [:] //coinegg [.] VIP14/03/2019 GoDaddy US [معرف التسمية التوضيحية = «المرفق _19551" align= «alignnone» width="948"] نتائج جوجل تعرض «CoinEgg VIP» كعملية احتيال [/caption]

لاحظ باحثو CloudSek التفاصيل التالية على مصدر صفحة نطاق coinegg.vip:

• يذكر موقع الويب «CoinEgg» في صفحة الفهرس.
• يستخدم شعارًا مزيفًا لـ CoinEgg لخداع المستخدمين.
• لديهم أيضًا روبوت دردشة لخدمة العملاء يعيد توجيه المستخدمين إلى النطاق v [.] chatabc [.] xyz

[معرف التسمية التوضيحية = «المرفق _19552" align= «alignnone» العرض = «830"] برنامج الدردشة الآلي لخدمة العملاء [/caption]

• ومع ذلك، تمت إزالة هذا النطاق لاحقًا وتم استخدام نطاق CoinEgg VIP جديد لإجراء عملية الاحتيال: https [:] /m [.] ceggccxs [.] vip/

[معرف التسمية التوضيحية = «المرفق _19553" alignnone» العرض = «1365"] تم توفير صورة لتفاصيل المجال البديل [/caption]

• في الصورة المقدمة أعلاه، تعلن الجهات الفاعلة في مجال التهديد عن صيانة النظام، وزودت المستخدمين بنطاقين بديلين للوصول إلى CoinEgg VIP:

الدومينعنوان IPأمين السجلhttps [:] /m [.] ceggca [.] VIP108.156.107.108GoDaddy Francehttps [:] //m [.] ceggccxs [.] VIP108.156.91.107GoDaddy أستراليا

• تم تسجيل كلا النطاقين على GoDaddy في 3 مارس 2022، وهما جزء من تكتيكات ممثل التهديد لتسجيل نطاقات احتياطية متعددة في حالة الإزالة.
• قامت مجموعة التهديدات بإنشاء هذه المجالات الجديدة بواجهة مستخدم مشابهة لتلك السابقة.

[معرف التسمية التوضيحية = «المرفق _19554" aligncenter «العرض ="1332"] واجهة المجال الجديد [/caption] [معرف التسمية التوضيحية = «attachment_19555" aligncenter» width="1075"] التسجيل على النطاق الجديد [/caption]

معلومات من موردي الأمن بما في ذلك BeVigil

• اكتشف فريق أبحاث التهديدات في CloudSek ملف APK (حزمة Android) لـ CoinEgg مع خيار التنزيل.

[معرف التسمية التوضيحية = «المرفق _19556" aligncenter «العرض = «1367"] CoinEgg APK [/التسمية التوضيحية]

• بمجرد اكتمال التنزيل، تظهر الرسالة التالية.

[معرف التسمية التوضيحية = «المرفق _19557" align= «alignnone» width="1368"] عنوان URL للمشاركة بين الأصدقاء [/caption]

• قام موردو الأمان بوضع علامة على عنوان URL على أنه ضار وتم وضع علامة عليه كملف موقع التصيد بواسطة فيروس توتال.

[معرف التسمية التوضيحية = «المرفق _19558" alignnone» width="972"] تم وضع علامة على عنوان URL المزيف على أنه ضار [/caption]

• تم أيضًا اكتشاف العديد من أحصنة طروادة مثل Anti-AVL و ESET-NOD32 و Fortinet و Ikarus و Jiangmin وما إلى ذلك في التطبيق الضار. (يرجى الرجوع إلى الملحق)
• كلاود سيكق كن فيجيل اكتشف محرك بحث الأمان أن التطبيق يتطلب أذونات مختلفة مدرجة على أنها خطيرة بما في ذلك إعدادات الكتابة، نافذة تنبيه النظام، طلب حزم التثبيت، الوصول إلى الموقع و معالجة المكالمات الصادرة.

[معرف التسمية التوضيحية = «المرفق _19559" aligncenter «العرض ="1408"] متطلبات الإذن الخطيرة للتطبيق [/caption]

• كما تم اكتشاف تطبيق آخر من خلال نطاق coinegg [.] club، الذي تم تمكين أذونات ضارة مماثلة له.

[معرف التسمية التوضيحية = «المرفق _19560" aligncenter «العرض ="1402"] Coinegg.club تتطلب أذونات خطيرة [/caption]

مدى الوصول والتأثير المالي لعملية احتيال CoinEgg

• وجد باحثو CloudSek أن مجموعة CoinEgg VIP تستخدم قناة Telegram نشطة وتم التحقق منها للتواصل مع مستثمريها وأن لديهم ما يقرب من 2K مشترك.
• ادعى أحد المستخدمين أيضًا أنه فقد 50 ألف روبية هندية بسبب عملية احتيال العملة المشفرة هذه، بما في ذلك التكاليف الإضافية مثل مبلغ الإيداع والضرائب وما إلى ذلك.
• تقدر خسارة المستخدمين بسبب عملية احتيال CoinEgg VIP بـ 10 مليارات روبية هندية. (توضيح: من خلال شاشة النطاق المزيفة ومراقبة التطبيقات المزيفة، لاحظنا العديد من الحالات المماثلة في جميع أنحاء العالم حيث تم استخدام النطاقات المزيفة والتطبيقات المزيفة لتقليد العديد من بورصات العملات المشفرة المشروعة بما في ذلك CoinEgg. الخسائر المقدرة المذكورة (10 مليار روبية هندية) هي تقدير للرقم العالمي.) 

تأثير عملية احتيال CoinEgg والتخفيف من حدتها

التأثيرالتخفيف

• يتم نشر العديد من تطبيقات التصيد الاحتيالي المزيفة على الويب، مما قد يؤدي إلى فقدان مؤقت وربما دائم للبيانات.
• يُطلب من الضحايا تقديم معلومات الأصول وصور بطاقة الهوية التي تحتوي على معلومات تحديد الهوية الشخصية. يمكن استخدام هذه البيانات جنبًا إلى جنب مع الهندسة الاجتماعية أو سرقة الهوية.
• يمكن أيضًا استخدام البيانات المشتركة للحصول على وصول أولي إلى محفظة التشفير الخاصة بالمستخدم.
• الخسارة المالية المرتبطة بتجميد محافظ العملات المشفرة.
• تتطلب تطبيقات CoinEgg المزيفة، عند التثبيت، أذونات غير مرغوب فيها ويتم الإبلاغ عن أنها ضارة. سيزود الجهات الفاعلة الخبيثة بالتفاصيل المطلوبة لشن هجمات رانسوم وير متطورة.

• يعد تحديد مواقع التصيد الاحتيالي وتعليقها لاحقًا أسرع طريقة للتخفيف من خطر مثل هذه الحيل.
• استفد من حلول الأمن السيبراني مثل xviGil من CloudSek للبحث المستمر عن المزيد من مواقع الويب المزيفة التي تظهر على الإنترنت.
• قم بالإبلاغ عن حملة التصيد الاحتيالي إلى خلية الجرائم الإلكترونية وزودهم بالتفاصيل اللازمة للحد من المحاولات المستمرة للجهات الفاعلة في مجال التهديد.
• قم بتشغيل حملات توعية قوية لتثقيف المستخدمين/العملاء حول عمليات الاحتيال المستمرة. سيؤدي ذلك إلى انخفاض عدد الأشخاص الذين يقعون في عمليات الاحتيال هذه.

 

المراجع

• *https://en.wikipedia.org/wiki/Intelligence_source_and_information_reliability
• ^#https://en.wikipedia.org/wiki/Traffic_Light_Protocol

الملحق

[معرف التسمية التوضيحية = «المرفق _19561" aligncenter «العرض = «971"] تفاصيل نطاق ceggca.vip [/caption] [معرف التسمية التوضيحية = «مرفق _19562" align= «aligncenter» width="1105"] تفاصيل نطاق ceggccxs.vip [/caption] [معرف التسمية التوضيحية = «المرفق _19563" align= «aligncenter» width="792"] تفاصيل نطاق موقع coinegg.fun [/caption] [معرف التسمية التوضيحية = «attachment_19564" align= «alignnone» width="862"] تفاصيل نطاق موقع coinegg.club [/caption] [معرف التسمية التوضيحية = «attachment_19565" aligncenter» width="1229"] يطلق المستخدمون على ceggi.vip منصة احتيال [/caption] [معرف التسمية التوضيحية = «attachment_19566" aligncenter» width="1132"] مشاركات منتدى Reddit حول تجنب CoinEgg VIP [/caption] [معرف التسمية التوضيحية = «attachment_19567" align= «aligncenter» width="1061"] تم اكتشاف أحصنة طروادة في التطبيق المزيف [/caption] [معرف التسمية التوضيحية = «attachment_19568" aligncenter» width="1165"] لقطة شاشة لصفحة كبار الشخصيات المزيفة على CoinEgg (m.) ceggccxs (.) [/caption]