الفئة: استخبارات الخصمالصناعة: الخدمات المالية والمصرفيةالمنطقة: عالميمصدر*: C3

ملخص تنفيذي

تهديدتأثيرتخفيف

• بشكل عام، إعداد روبوت OTP جديد قادر على التقاط OTP و CVV للبطاقة والرموز السرية وتسجيلات المكالمات المخادعة.
• يحتوي الروبوت على قناة Telegram مخصصة لالتقاط المعلومات وعرضها.

• يمكن استخدام OTP الملتقط لتجاوز 2FA والحصول على وصول كامل إلى الحسابات المصرفية.
• تتأثر خدمات الدفع P2P مثل Cashapp و Paypal.

• تنفيذ تقنيات وخوارزميات الكشف عن الروبوتات.
• تحقق من شرعية المتصل قبل إعطاء المعلومات الحيوية.

التحليل والإسناد

• كلاود سيكمنصة المخاطر الرقمية السياقية للذكاء الاصطناعي، الجيل السادس عشر، اكتشفت منشورًا كان فيه أحد ممثلي التهديد يعلن عن روبوت Telegram OTP المسمى بشكل عام.
• يُنظر إلى OTPs (كلمات المرور لمرة واحدة) على نطاق واسع كإجراء أمني مقاوم للخداع لضمان المصادقة سواء للسماح بالتحويل المصرفي أو الوصول إلى حساباتك عبر الإنترنت.

[معرف التسمية التوضيحية = «المرفق _20059" aligncenter «العرض ="1635"] جوهر خدمات ممثل التهديد، المُعلن عنها في المنتدى [/caption]

• ولوحظ ممثل آخر يقدم روبوتًا يمكنه تجاوز الحسابات على Paypal و Amazon وفي قطاعات المصرفية/الدفع. (لمزيد من المعلومات، يرجى الرجوع إلى الملحق)
• تم تصميم الروبوت بشكل عام لتجاوز المصادقة على منصات بوابات الدفع مثل Venmo و Paypal و Cashapp.
• يمكن تمديد حالة استخدامه إلى القطاع المصرفي من خلال سرقة بطاقة CVV والرموز الشخصية.

طريقة العمل

• قبل الهجوم، يقدم الممثل معلومات تحديد الهوية الشخصية للضحية إلى الروبوت (يتم إدخال رقم الهاتف مع /pp أو /call البادئات).
• ينتحل الروبوت شخصية كيان شرعي (بنك، متجر للتجارة الإلكترونية، إلخ) عن طريق إجراء مكالمة مزيفة من رقم خدمة العملاء المجاني إلى الهدف المقصود.
• لا تحتاج روبوتات Telegram إلى رقم مسجل، لذلك يمكن التخلص من إمكانية تتبع المكالمات والبحث عن الأرقام.
• يمكن أن يتراوح سبب المكالمة من أي شيء مثل النشاط غير المصرح به على حساب مصرفي أو على بوابة الحساب عبر الإنترنت.
• ثم يقوم ممثل التهديد بإقناع الضحية بتسجيل الدخول إلى بوابة البنك، للتحقق إذا <insert reason>حدث الحادث المذكور.
• تساعد تطبيقات المصادقة أو الآليات المماثلة المدمجة في مواقع الويب على التحقق من صحة جلسة شرعية من المستخدم المذكور.
• يلتقط الروبوت بيانات الاعتماد التي تم إدخالها ويتم سحب OTP من الضحية.
• بمجرد تأمين OTP، يحصل المهاجم على وصول كامل إلى الحسابات المخترقة.
• يمكن الاستفادة من هذا الوصول بشكل أكبر لأغراض ضارة مثل عمليات السحب والوصول طويل الأجل وما إلى ذلك.
• يتم استخدام تقنية مماثلة لسرقة أرقام CVV والرموز السرية من بطاقات الائتمان/الخصم الصادرة عن البنك.

التكتيكات والتقنيات والإجراءات

البنية التحتية للخصم

• واحدة من عروض Telegram الجذابة هي الروبوتات التي تستخدم للتواصل مع البشر. تستفيد العديد من الشركات منها لتبسيط احتياجات العملاء.
• في هذه الحالة، يتم استخدام الروبوتات من قبل الجهات الفاعلة في مجال التهديد كبنية تحتية لتنفيذ الجرائم الإلكترونية من خلال:
  • الاستيلاء على OTP
  • إرسال OTP إلى جانب الخادم
• يأتي الروبوت مع عدد من قوالب الرسائل المحددة مسبقًا والتي تعرض الخطوات المتضمنة في الجريمة من وقت الاتصال بالضحية لأول مرة حتى إنهاء المكالمة.
• يتم أيضًا تسليم نسخة صوتية من المكالمة إلى المهاجم عند الانتهاء.

التكتيكات التي تمت ملاحظتها

• الهندسة الاجتماعية
• سرقة OTP والمعلومات الحساسة الأخرى (رقم CVV ورقم التعريف الشخصي للبطاقة وما إلى ذلك).
• استخدام خدمة البنية التحتية المخصصة على Telegram (علامة فرعية).

[معرف التسمية التوضيحية = «المرفق _20060" aligncenter «العرض ="798"] لقطة شاشة للقناة المخصصة لبوت Generaly، على تيليجرام [/caption]

المزايا النقدية

• تتوفر ثلاثة خيارات للتأجير، أي الخطط اليومية والأسبوعية والشهرية، للروبوت.
• هناك خيار لشراء الروبوت مباشرة مقابل 250,000 دولار أمريكي.
• طريقة الشراء الأساسية هي عبر العملة المشفرة باستخدام Coinbase كمنصة دفع.
• يمكن أيضًا إجراء المدفوعات عبر العملات المشفرة الأخرى مثل Ethereum و Bitcoin و Bitcoin Cash.
• يتم إرسال الوصول إلى الروبوت إلى عنوان البريد الإلكتروني للعميل.

نشاط وتصنيف الجهات الفاعلة في مجال التهديد

تحديد سمات الجهات الفاعلة في مجال التهديدنشط منذ أكتوبر 2020 سمعة عالية (شكاوى ومخاوف قليلة ضدهم) الحالة الحاليةالتاريخ النشط

• بائع بطاقات الائتمان وبطاقات الهدايا غير المرغوب فيها للعلامات التجارية الشهيرة مثل Dunkin' Donuts & Amazon.
• كما أنهم يبيعون السجلات التي يتم الحصول عليها من سارقي المعلومات.
• يوفر أدوات وخدمات لهجمات التحريف وعمليات تجاوز OTP.
• معروف بالدفع للجهات الفاعلة الأخرى للترويج لمنتجات وعروض مواقع الويب الخاصة بهم.

البلدان المستهدفةفرنسا والهند والولايات المتحدة الأمريكيةنقطة الاتصال قناة Snowxup Telegram (t [.] me/snowxup - 4542 مشتركًا)، متجر SNOWXUP عبر الإنترنت، Discord (1622 عضوًا)، قناة دعم SNOWXUP (t [.] أنا/datasnow)، قناة بوت تيليجرام (@GeneralyOTPbot) التصنيف C3 (C: موثوق بها إلى حد ما، 3: ربما صحيح)

متجر SNOWXUP على الإنترنت

تم تسجيل النطاق المزعوم في تركيا ويحتوي الجدول أدناه على عنوان IP الخاص به والمعلومات المتعلقة بالخادم. عنوان IPخوادم الأسماء104.21.13.49أوستين.ns.cloudflare.com (الولايات المتحدة) 172.67.154.161jean.ns.cloudflare.com (الولايات المتحدة)

التأثير والتخفيف

التأثيرالتخفيف

• يمكن إساءة استخدام OTP الذي تم الاستيلاء عليه بواسطة الروبوت لإجراء عمليات السحب والحفاظ على الثبات وما إلى ذلك.
• يمكن استخدام الروبوت لتجاوز آليات 2FA والحصول على وصول كامل إلى الحسابات عبر الإنترنت/المصرفية.

• تنفيذ تقنيات وخوارزميات الكشف عن الروبوتات.
• خلق الوعي ضد أساليب الهندسة الاجتماعية.
• اطرح الأسئلة الصحيحة وتحقق من شرعية الشخص المتصل، قبل إعطاء معلومات حيوية أو حساسة.

المراجع

• ^#بروتوكول إشارات المرور
• *مصدر الذكاء وموثوقية المعلومات
• خدمات إعداد OTP Bot المقدمة في منتدى الجرائم الإلكترونية - CloudSek

الملحق

[معرف التسمية التوضيحية = «المرفق _20061" aligncenter «العرض = «813"] مثال للهجوم الذي وقع [/caption] [معرف التسمية التوضيحية = «المرفق _20062" aligncenter «العرض ="543"] الأغراض الأساسية للبوت العام [/caption] [معرف التسمية التوضيحية = «المرفق 20063" align= «aligncenter» width="1032"] حادثة أخرى من حوادث السرقة التي نفذها مكتب المدعي العام [/caption] [معرف التسمية التوضيحية = «المرفق 20064" align= «aligncenter» العرض = «1050"] أوصاف الأسعار لبيع بوت OTP [/caption] [معرف التسمية التوضيحية = «المرفق 20065" align= «aligncenter» width="438"] صورة خيارات إرسال البضائع المشتراة [/caption] [معرف التسمية التوضيحية = «المرفق _20066" aligncenter «العرض ="1264"] طرق الدفع التي يتم تقديمها للعميل أثناء شراء البوت [/caption] [معرف التسمية التوضيحية = «المرفق _20067" aligncenter» العرض = «390"] تفاصيل الملف الشخصي لممثل التهديد، SNOWXUP - في المنتدى السري [/caption] [معرف التسمية التوضيحية = «المرفق _20068" aligncenter «العرض ="1635"] إعلانات دعائية على الملف الشخصي لممثل التهديد الآخر [/caption] [معرف التسمية التوضيحية = «المرفق _20069" aligncenter «العرض ="531"] قناة SNOWXUP على Telegram التي تعلن عن خدماتها وعروضها [/caption] [معرف التسمية التوضيحية = «المرفق 20070" align= «aligncenter» العرض = «396"] تفاصيل القناة الخاصة بمتجر ممثل التهديد على تيليجرام، SNOWXUP [/caption] [معرف التسمية التوضيحية = «المرفق _2001" aligncenter «العرض = «488"] العينات التي تلقاها مصدر الباحثين في CloudSek [/caption] [معرف التسمية التوضيحية = «المرفق _20072" aligncenter «العرض ="1437"] تشير معلومات تسجيل النطاق الخاصة بـ snowxup.com إلى أنه موقع ويب جديد [/caption] [معرف التسمية التوضيحية = «المرفق 20073" align= «aligncenter» العرض = «1039"] لم تتم أي معاملات، على عنوان BTC هذا، في وقت كتابة هذا التقرير. [/التسمية التوضيحية] (المصدر - https://www.blockchain.com/btc/address/39WE5wB4WUxbQSvE9DFjmRN7GgR2kMfoKD)