Bots avançados de engenharia social automatizados: a alta onda de bots de engenharia social e os golpistas que os utilizam

O surto de COVID 19 mudou significativamente a forma como operamos em nosso dia-a-dia. Desde a mudança sem precedentes para o trabalho remoto até a dependência de lojas on-line para atender até mesmo às nossas necessidades mais básicas, a Internet se tornou nosso benefício e nossa maldição. Portanto, não é de surpreender que a pandemia seja marcada pelo aumento de esquemas sofisticados de e-mail de phishing por parte de cibercriminosos que estão constantemente em busca de pontos de apoio para se infiltrar em uma empresa ou organização.

Engenharia social — Uma isca manipuladora ou um bom samaritano?

Engenharia social é o nome formal da psicologia de persuadir e manipular as pessoas a sentirem um senso de urgência ao realizar uma determinada ação. Pense em anunciantes nos convencendo a acreditar que uma determinada marca de jeans é mais legal que a outra. Ou como campanhas massivas de saúde pública lembram você de tomar sua vacina. Embora isso possa parecer um truque de marketing inocente ou uma simples campanha de conscientização, na segurança cibernética, a engenharia social tem um motivo mais sinistro. Os atacantes costumam usar todo tipo de truques psicológicos para induzir suas vítimas a abrir e-mails duvidosos, clicar em links suspeitos, entregar senhas, baixar anexos incompletos e adotar outros comportamentos inseguros que podem levar a ataques de ransomware em grande escala ou violações de dados.

Os ataques de engenharia social são possivelmente uma das formas mais perigosas de ataques à segurança e à privacidade, pois são tecnicamente orientados para a manipulação psicológica e têm crescido em frequência sem fim à vista. Relatórios recentes mostraram que 99% dos ataques cibernéticos usam engenharia social técnicas para induzir os usuários a instalar malware. Portanto, é importante educar você e sua força de trabalho sobre alguns indicadores-chave de golpes e fraudes.

Compartilhar não é se importar quando se trata de segurança cibernética

A engenharia social tem sido uma das maiores ameaças à segurança cibernética de uma organização há algum tempo. Os golpistas estão se tornando mais inteligentes e sofisticados em seus métodos de ataque. Ocorreram vários casos em que as pessoas recebem ligações que parecem ser de seus bancos. O chamador parece legítimo e fornece um motivo convincente para ligar para o cliente. Depois de confortar a vítima com um falso manto de segurança, ela costuma ser induzida a fornecer seus dados pessoais e confidenciais, como:

• Senha de uso único (OTP)
• Número do cartão de crédito/débito
• O número CVV do cartão (valor de verificação do cartão — número de 3 a 4 dígitos impresso no verso do cartão)
• Data de validade
• Senha segura
• PINO ATM
• ID de login e senha do Internet banking e outras informações pessoais

Com todas essas informações cruciais em mãos, um fraudador pode facilmente realizar transações financeiras ilegais usando o nome da vítima.

Criminosos cibernéticos automatizados

O fomento manual de tais ataques é bastante complicado, pois exige muito esforço humano para coletar os dados, analisar e convencer a vítima a compartilhar sua OTP. Mas os cibercriminosos encontraram por acaso uma solução lucrativa para esse problema. Eles usaram uma tecnologia avançada que engana usando bots que, em última análise, são seguros e estáveis para os atacantes, pois não há vestígios de consequências a serem resolvidos. Isso, compreensivelmente, causou um aumento nos fóruns e mercados clandestinos com vendas de anúncios de bots OTP/SMS. Podemos chamá-la de ferramenta automatizada de engenharia social.

Os bots são automatizados para realizar determinadas tarefas e interações e, muitas vezes, podem ser executados sem assistência humana. Eles ocupam uma grande quantidade de tráfego na Internet e existem bots bons e ruins.

Bons bots geralmente rastreiam a Internet para atender adequadamente às nossas necessidades e exigências. Os bots do Google, por exemplo, ajudam a catalogar o que está online, para que nossos resultados de pesquisa sejam mais rápidos e otimizados. Os chatbots, por outro lado, são um bom substituto para o atendimento ao cliente, pois interagem com os usuários para anotá-los e atendê-los adequadamente.

Os bots ruins ou malévolos, por outro lado, podem ser programados para invadir as contas dos usuários e roubar dados, infectar computadores com vírus ou malware perigosos ou realizar spam incessante, o que acaba derrubando o site. Os cibercriminosos usam bots maliciosos para assumir o controle de um computador e vinculá-lo a outros para criar uma rede de “computadores zumbis” chamada botnet, que pode então lançar ataques cibernéticos em grande escala, bloqueando completamente os usuários da Internet.

Análise do anúncio do fórum

O ASC (Asylum for real carders) é um fórum cibercriminoso inglês com sede na China que foi lançado em 2019. O ASC começou inicialmente como um pequeno fórum baseado em cartões, mas desde 2021 acumulou quase 16.116 membros, um número relativamente grande para uma plataforma que está ativa. Como resultado, o site tem mais de 250 visitantes diários e tem 2022 tópicos. A seção mais ativa no ASC é a Zona “Carding & Hacking”, que inclui subfóruns relacionados a cartões virtuais, cartões bancários, sites de cartões, ferramentas de hacking, sistemas de pagamento e dicas para iniciantes sobre atividades e métodos de cardagem. Alguns membros da equipe do fórum parecem ser particularmente ativos nesta seção e criaram uma alta proporção de seus tópicos.

O fórum adicionou novas seções, como MERCADO VERIFICADO e SEÇÃO PREMIUM. Geralmente, esses fóruns fornecem um mercado negro para os cibercriminosos trocarem ferramentas e serviços maliciosos que facilitam todas as fases do crime de cardagem cibernética.

Bad bots — Um disfarce miserável

O SMS Ranger é um bot de captura de OTP e SMS capaz de obter códigos OTP e SMS das vítimas fingindo ser uma empresa ou banco. Esses bots ajudam a obter OTP para logins, bancos, cartões de crédito, Apple Pay e muito mais. Métodos tradicionais, como a troca de SIM por códigos OTP, não são necessários. Esses bots podem capturar qualquer código OTP/2FA, bem como informações pessoais. O custo do serviço é baseado no país e na assinatura mensal, conforme mencionado na plataforma:

• 1 mês: USD 600
• 2 meses: USD 1100
• 5 meses: USD 2400
• Vida útil: USD 4000

O pacote inclui chamadas ilimitadas para os EUA, Canadá ou Reino Unido. Para todos os outros países, o serviço está disponível por USD 300.

Os principais recursos desse serviço são:

• Vários modos para escolher (OTP para logins/bancos/cartões de crédito/Apple Pay, etc.)
• Conversão de texto em fala exclusiva em cada chamada (voz masculina/feminina)
• Vários idiomas suportados (inglês/francês etc)
• Vários países suportados (EUA/CA/UK/AUS/FR/RU/IND)
• Atualizações constantes todas as semanas

Os usuários geralmente precisam criar uma conta e se inscrever ou entrar em contato com o provedor de serviços via Telegram para aproveitar o serviço de bot por meio desses sites. Os golpistas geralmente coletam informações pessoais na dark web ou até mesmo nas redes sociais para sabotar até mesmo as pessoas mais vigilantes. Por outro lado, vazamentos de cartões de lojas de cartões e violações de dados fornecem aos engenheiros sociais mais informações pessoais para explorar em um ataque de engenharia social, catalisando substancialmente suas chances de atingir indivíduos e cometer fraudes na era digital.

Análise técnica

Esse golpe fraudulento envolve etapas simples:

• Os serviços, promovidos no Telegram, parecem tornar extremamente simples para o usuário final enganar vítimas inocentes, fornecendo informações bastante simples por meio de uma janela de bate-papo do Telegram para o serviço.

• O bot em si está sendo vendido em uma sala de bate-papo do Telegram que atualmente possui mais de 2000 membros, gerando enormes lucros para seus criadores com a venda de assinaturas mensais para cibercriminosos.

• Inicialmente, a conversa do bot começa com a renovação do serviço pelos usuários e oferece a opção de selecionar o idioma e a voz. O bot oferece vários modos de recursos que incluem:
  • Modo OTP bancário (selecione qualquer banco em todo o mundo)
  • Modo de código Apple/Google Pay
  • Modo de login do PayPal
  • Modo de conta (para fazer login em contas 2FA)
  • Modo de e-mail (ignorar a segurança de e-mail)
  • Modo operadora (códigos de captura para troca de SIM)
  • Modo Bankmore (modo bancário aprimorado)
  • Modo de credencial (captura DOB/MMN/ e muito mais)

Esse bot também tem um novo recurso de perguntar aos usuários o número de dígitos presentes no OTP. Por sua vez, isso ajuda a evitar que a vítima insira uma OTP errada ou nenhuma.

• Uma vez instalado, o bot OTP permite que seu operador colete senhas únicas de vítimas inocentes simplesmente inserindo o número de telefone do alvo, bem como quaisquer outros dados obtidos de vazamentos de dados ou do mercado negro, na janela de bate-papo do Telegram do bot. Ele disca o número de telefone após fornecer as informações da vítima e, em seguida, reproduz um arquivo de áudio que soa como
  https://www.youtube.com/watch?v=GNXhHAh67DQ(prova adquirida pela cybernews) ou https://drive.google.com/file/d/1YE9XUWUgouvO_20UtsZnBzTiXz4Za8Xi/view?usp=sharing
  • Ao ouvir a chamada gravada, fica relativamente claro que a voz do bot OTP foi gerada usando um programa de conversão de texto em fala. A ligação geralmente parece genuína demais para ser ignorada.
  • Um golpista de insights geralmente se baseia na tendência humana de perceber que as mensagens pré-gravadas e as vozes dos robôs são mais confiáveis. Esses bots nada mais são do que bots sinistros de chamadas automáticas que foram programados para ligar para vítimas inocentes e convencê-las a entregar senhas únicas ou códigos SMS, que podem ser usados por fraudadores para fazer login e saquear suas contas.
  • Em apenas alguns minutos, o bot OTP consegue capturar o código com sucesso.
  • As transações fraudulentas com cartão de crédito são as favoritas entre os fraudadores porque números de telefone e informações de cartão de crédito roubados são relativamente fáceis de obter no mercado negro. Os criadores da ferramenta automatizada de engenharia social se orgulham de poder extrair senhas únicas para Gmail, Coinbase, Bank of America, Chase, PayPal etc.

   

  

  

   

  Proteção contra tais técnicas e fraudes maliciosas

  • Nunca compartilhe informações pessoais com ninguém — Isso inclui informações como nomes, nomes de usuário, endereços de e-mail, senhas, PINs ou qualquer outra informação que possa ser usada para identificá-lo. Representantes bancários ou ligações automáticas nunca solicitam esses detalhes aos clientes.
  • Não atenda chamadas de números desconhecidos — Se você atender e alguém que você não conhece começar a pedir informações pessoais, desligue imediatamente.
  • Vá devagar — Os golpistas geralmente tentam criar uma falsa sensação de urgência para pressioná-lo a fornecer suas informações. Se alguém tentar forçá-lo a tomar uma decisão, desligue ou diga que você ligará mais tarde. Em seguida, ligue para o número oficial da empresa que eles pretendem representar.
  • Não confie no identificador de chamadas — Os golpistas podem aparecer como uma empresa ou alguém da sua lista de contatos usando nomes e números de telefone falsos. Lembre-se de que os provedores de serviços financeiros nunca ligam para seus clientes para confirmar suas informações pessoais. Em caso de atividade suspeita, basta bloquear a conta em questão e esperar que o usuário entre em contato com a empresa por meio dos canais oficiais para resolver o problema. Dessa forma, fique sempre alerta, mesmo que o identificador de chamadas na tela do telefone pareça genuíno.

   

  Referências

  • https://frankonfraud.com/fraud-trends/otp-bots-take-social-engineering-fraud-to-new-level/?__cf_chl_captcha_tk__=pmd_6cfe7546c5b5bb4762c7bf7c115432fb15886e35-1628059675-0-gqNtZGzNAvijcnBszQi6
  • https://www.businesstoday.in/latest/trends/story/is-your-otp-safe-here-is-how-hackers-are-redirecting-your-sms-290921-2021-03-16
  • https://cybernews.com/security/new-robocall-bot-on-telegram-can-trick-you-into-giving-up-your-password/
  • https://www.youtube.com/watch?v=GNXhHAh67DQ
  • https://www.zeebiz.com/personal-finance/news-what-is-vishing-scam-know-how-to-avoid-falling-victim-of-this-online-banking-fraud-101895
  • https://digitalguardian.com/blog/social-engineering-attacks-common-techniques-how-prevent-attack