Inteligência do adversário

As evasões de verificação do KYC levam à exploração de câmeras virtuais e emuladores de aplicativos

A equipe de inteligência de ameaças da CloudSEK descobriu recentemente um tutorial abrangente sobre como contornar a verificação de selfies em um fórum de crimes cibernéticos em russo.

June 26, 2023

min

Tabela de conteúdo

Exemplo H2

Categoria: Inteligência do adversário

Indústria: Banca e finanças

Motivação: Lucro

Região: Global

Fonte*:

C - Bastante confiável

3 - Possivelmente verdadeiro

‍

Sumário executivo

CloudSEKA equipe de inteligência de ameaças da descobriu um tutorial em um fórum de crimes cibernéticos de língua russa, que fornece um guia passo a passo sobre como ignorar a verificação de selfies. Realizar a verificação individual de selfies ao vivo é um método comum para realizar a verificação KYC (Conheça seu cliente) e verificar se os pontos de dados do registro do cliente correspondem à imagem de identidade presente no documento de identificação legal, como SSN, carteira de motorista, cartão Aadhar, cartão PAN e muito mais.
‍

No cenário em evolução das finanças digitais, os agentes de ameaças estão explorando cada vez mais emuladores de código aberto e câmeras virtuais para ignorar os processos de verificação KYC (Know Your Customer) em plataformas fintech. Essa exploração leva à criação de contas fraudulentas, apresentando riscos financeiros e de reputação substanciais.

Embora não tenhamos notado nenhum agente ativo de ameaças atacando ativamente a sub-região indiana, o guia passo a passo atual tem como alvo a Revolut, uma empresa de tecnologia financeira com sede no Reino Unido que oferece serviços bancários móveis e serviços de transferência de dinheiro. Além disso, esses serviços também são voltados para marcas que operam no setor de criptomoedas, como Gemini e LiteBit

O potencial desses métodos para facilitar as atividades de lavagem de dinheiro é uma preocupação séria. Para organizações que operam no setor bancário, de serviços financeiros e de seguros (BFSI), entender essas ameaças é de suma importância.

As possíveis mitigações para evitar abusos são: -

Usando algoritmos robustos de reconhecimento facial para distinguir imagens/vídeos reais e falsos
Usando análise comportamental e detecção de anomalias, analisando padrões de comportamento e outros dados contextuais, como detecção de raiz e detecção de ambiente virtual

As implicações dessas ameaças são abrangentes, afetando não apenas a segurança das transações financeiras, mas também a confiança que os clientes depositam nessas plataformas.

Contexto da indústria

A verificação biométrica foi um divisor de águas para que os clientes cumpram os regulamentos KYC. Eles foram impostos por bancos, criptomoedas e outras plataformas Fintech. Vídeo KYC e verificação de selfies são a norma agora neste mundo digital. Isso pode ser feito sem a necessidade de o cliente visitar fisicamente o banco/centro autorizado para cada procedimento KYC. A tabela a seguir menciona entidades que têm a verificação de selfie ativada. Depois de concluído com sucesso, os clientes podem iniciar as operações de negociação/venda na plataforma.

Entities who have Digital Verification Enabled
Revolut	Bitvavo
Gemini	Bitonic
LiteBit	Bitstamp

‍

Informações dos fóruns subterrâneos

CloudSEKA equipe de inteligência de ameaças da descobriu um tutorial em um fórum de crimes cibernéticos de língua russa, que fornece um guia passo a passo sobre como contornar a verificação de selfies. Enquanto monitorávamos discussões em outros fóruns de crimes cibernéticos, descobrimos outro conjunto de uso do mesmo software para contornar a verificação de selfies e gerar contas Revolut.

*Figura 1 - O tutorial publicado em um fórum de crimes cibernéticos frequentado por cibercriminosos com foco em engenharia social e phishing*

A Revolut é uma empresa de tecnologia financeira sediada no Reino Unido que oferece serviços bancários móveis, incluindo transferências de dinheiro, câmbio de moedas e criptomoedas, ferramentas de orçamento e muito mais. Ele opera digitalmente, oferecendo aos usuários uma abordagem conveniente e baseada em aplicativos para serviços bancários pessoais e comerciais.
As contas suspensas em aplicativos bancários/de pagamento geralmente são solicitadas e compradas por meio de criminosos cibernéticos, para facilitar a transferência de valores pendentes, geralmente provenientes de fontes ilegítimas.
A implementação de um processo de verificação é uma medida crítica destinada a minimizar a prevalência de contas automatizadas ou maliciosas, bem como a conter atividades fraudulentas. Essa etapa é essencial para estabelecer protocolos Know Your Customer (KYC), que garantem a legitimidade e a integridade dos usuários na plataforma.
A verificação de identidade por meio de selfies se tornou uma prática difundida em várias plataformas digitais, incluindo serviços financeiros, mídias sociais e mercados on-line. Apesar de sua ampla adoção, esse método não é infalível e pode ser contornado, a menos que medidas de segurança apropriadas sejam implementadas.

*Figura 2 - Postagem no fórum em que o tutorial foi usado de forma abusiva para contornar o KYC da Revolut*

O agente da ameaça publicou o tutorial, que nomeou os seguintes aplicativos que podem ser usados de forma abusiva para passar pelo processo de verificação no Revolut:

Estúdio NOTE 27.2.4
Plugin OBS Virtualcam
Bluestacks a partir da versão 5.10

O software mencionado acima é usado para várias finalidades:

NOTE Studio - Suíte de código aberto para gravação de vídeo e transmissão ao vivo, frequentemente usada por criadores de conteúdo para plataformas como Twitch e YouTube. Ele permite que os usuários capturem, componham, codifiquem e transmitam conteúdo de vídeo com eficiência
Plugin OBS VirtualCam - para configurar uma câmera virtual, que capturará um instantâneo de um rosto identificável que o ator gostaria de usar, a partir de um vídeo fictício fornecido como entrada.
Bluestacks - Este é um software emulador que pode ser usado para instalar e testar aplicativos Android de maneira portátil.

‍

Processo de verificação por meio do emulador

O processo de verificação por selfie ocorre quando o número de telefone é verificado via OTP, com as credenciais da conta definidas pelo cliente. Como o processo de verificação é abusado via desktop usando um emulador, o aplicativo pode ser induzido a aceitar uma imagem pré-manipulada como entrada para concluir o processo de verificação.

O mesmo método de verificação pode ser usado de forma abusiva para gerar contas, em massa, em plataformas bancárias e financeiras que habilitaram o KYC.

*Figura 3 - Imagem usada para verificação*

‍

Referências

Apêndice

*Figura 4 - Discussões anteriores sobre o desvio de reconhecimento facial para criação de contas Revolut*

‍

Figura 5 - Um anúncio semelhante foi observado em um fórum de crimes cibernéticos de língua russa para contornar a verificação, o que foi observado como impactando a indústria de criptomoedas e bancos estrangeiros

‍

*Figura 6 - A discussão em um fórum subterrâneo indica a exploração anterior do processo de verificação de selfies para Revolut*

‍

Noel Varghese

Cyber Threat Researcher

Pavan Karthick M

Threat Researcher at CloudSEK, building threat intelligence and automation systems for malware tracking, dark web intelligence, and vulnerability monitoring. He researches stealer ecosystems and cybercrime networks, and speaks at BSides, Null/OWASP, and HITB on AI-driven security automation.