Karma догнала глобальную службу фишинга 16Shop

Jun 27, 2023

Вы, вероятно, никогда не слышали о «16Магазин», но есть большая вероятность, что кто-то, используя его, попытался вас фишинговать.

Фишинговая страница 16Shop, подделывающая Apple и нацеленная на японских пользователей. Изображение: Akamai.com.

Международная полицейская организацияИнтерпол заявила на прошлой неделе, что закрыла пресловутую 16Shop, популярную платформу «фишинг как услуга», запущенную в 2017 году, которая позволила даже новичкам легко проводить сложные и убедительные фишинговые мошенничества. Интерпол сообщил, что власти Индонезии арестовали 21-летнего владельца и одного из его предполагаемых пособников, а третий подозреваемый был задержан в Японии.

В заявлении Интерпола говорится, что платформа продавала хакерские инструменты для компрометации более 70 000 пользователей в 43 странах. Учитывая, как долго существует 16Shop и сколько платящих клиентов у него было за эти годы, это число почти наверняка весьма консервативно.

Кроме того, продажа «инструментов для взлома» не совсем отражает суть 16Shop: это была полностью автоматизированная фишинговая платформа, которая предоставляла своим тысячам клиентов серию фишинговых наборов для конкретных брендов и необходимые доменные имена. для размещения фишинговых страниц и получения украденных учетных данных.

Эксперты по безопасности, исследовавшие 16Shop, обнаружили, что сервис использовал интерфейс прикладного программирования (API) для управления своими пользователями — нововведение, которое позволяло его владельцам перекрывать доступ клиентам, не заплатившим ежемесячную плату, или тем, кто пытается скопировать или пиратствовать фишинговые файлы. набор.

16Shop также локализовал фишинговые страницы на несколько языков, и сервис отображал соответствующий фишинговый контент в зависимости от геолокации жертвы.

Различные приманки 16Shop для пользователей Apple на разных языках. Изображение: Акамай.

Например, в 2019 годуМакафиобнаружили, что для целей в Японии комплект 16Shop также собирает веб-идентификатор и пароль карты, в то время как у жертв в США будет запрошен номер социального страхования.

«В зависимости от местоположения 16Shop также будет собирать идентификационные номера (включая гражданский идентификатор, национальный идентификатор и идентификатор гражданина), номера паспортов, номера социального страхования, коды сортировки и кредитные лимиты», — написал Макафи.

Кроме того, 16Shop использовал различные уловки, чтобы помочь фишинговым страницам своих пользователей оставаться вне поля зрения охранных фирм, включая локальный «черный список» интернет-адресов, привязанных к охранным компаниям, и функцию, которая позволяла пользователям блокировать доступ ко всему диапазону интернет-адресов. фишинговые страницы.

В заявлении Интерпола не упоминаются имена ни одного из подозреваемых, арестованных в связи с расследованием 16Shop. Однако ряд охранных фирм, в том числе Akamai, McAfee и ZeroFox, ранее подключили сервис к молодому индонезийцу по имениРисванда Нур Сапутра, который продал 16Shop под хакерским ником»Дьявольский Крик».

По данным индонезийского блога по безопасностиCyberthreat.idСапутра признался, что является администратором 16Shop, но сообщил изданию, что передал проект другим к началу 2020 года.

16Мастерская документация, содержащая инструкции для операторов по использованию комплекта. Изображение: ЗероФокс.

Тем не менее, Cyberthreat сообщила, что Девилскрим был арестован индонезийской полицией в конце 2021 года в рамках сотрудничества Интерпола иФедеральное бюро расследований США (ФБР). Тем не менее, исследователи, отслеживавшие 16Shop с момента его создания, говорят, что Devilscream не был первоначальным владельцем фишинговой платформы и, возможно, не последним.

Киберпреступники нередко случайно заражают свои компьютеры вредоносным ПО, кражущим пароли, и именно это, похоже, произошло с одним из последних администраторов 16Shop.

Constella Intelligence, платформа для исследования утечек данных и субъектов угроз, теперь позволяет пользователям сопоставлять популярные веб-сайты, посвященные киберпреступности, и посетителей этих форумов с непреднамеренным заражением вредоносным ПО троянами, похищающими информацию. Поиск в Constella по доменному имени 16Shop показывает, что в середине 2022 года главный администратор фишинговой службы заразил свой настольный компьютер с Microsoft Windows трояном-похитителем информации Redline — очевидно, загрузив взломанную (и тайно взломанную) копию Adobe Photoshop.