Kit de phishing Darcula lié à un acteur menaçant chinois

La plateforme chinoise « darcula », spécialisée dans le Phishing-as-a-Service (PhaaS) en langue chinoise, cible activement des organisations dans plus de 100 pays en utilisant des méthodes sophistiquées via un réseau de plus de 20 000 domaines de phishing.

« Darcula » est une plate-forme Phishing-as-a-Service (PhaaS) avancée, utilisant plus de 20 000 domaines de phishing pour aider les cybercriminels à lancer des campagnes de phishing de marque. Contrairement aux méthodes conventionnelles, « darcula » utilise des technologies modernes telles que JavaScript, React, Docker et Harbor, semblables à celles utilisées par les startups de haute technologie.

En exploitant iMessage et RCS pour les communications textuelles au lieu des SMS, « darcula » contourne efficacement les pare-feu SMS, permettant ainsi des attaques ciblées contre des entités telles que l'USPS et d'autres organisations établies dans plus de 100 pays. Ces attaques, connues sous le nom de « smishing », impliquent souvent des messages concernant des « colis manqués » pour inciter les utilisateurs à fournir des informations sensibles sous couvert de services postaux légitimes.

La plate-forme « darcula » a été impliquée dans de nombreux incidents de phishing très médiatisés, notamment des escroqueries ciblant à la fois les utilisateurs d'Apple et d'Android au Royaume-Uni, ainsi que des systèmes de colis frauduleux usurpant l'identité du service postal des États-Unis (USPS), qui ont attiré l'attention sur Reddit. forum r/hameçonnage.

Les opérateurs utilisant « darcula » distribuent leurs URL malveillantes principalement via RCS et iMessage, exploitant la confiance associée à ces plates-formes tout en évitant certains filtres réseau qui bloquent généralement les messages SMS frauduleux.

Cette analyse se penche sur les mécanismes de « darcula », mettant en évidence son approche distinctive des campagnes de phishing, notamment par le biais de messages texte, et son efficacité à extraire des données critiques de victimes sans méfiance.

Darcula propose des modèles de phishing prêts à l'emploi

« Darcula » représente un acteur important dans le paysage de la cybercriminalité, proposant un modèle par abonnement permettant à d'autres criminels de déployer facilement des sites de phishing ciblant un large éventail de marques mondiales à l'aide de centaines de modèles.

Contrairement aux kits de phishing traditionnels, les sites Web de phishing « darcula » peuvent être mis à jour de manière transparente pour intégrer de nouvelles fonctionnalités et mesures anti-détection, garantissant ainsi une efficacité durable pour échapper aux efforts de détection et d'application des lois.

La plateforme prend en charge environ 200 modèles de phishing, conçus pour exploiter la confiance dans diverses marques réparties dans plus de 100 pays, se concentrant principalement sur les services postaux mais ciblant également les entités qui dépendent de la confiance des consommateurs, telles que les services publics, les institutions financières, les agences gouvernementales, les compagnies aériennes et les télécommunications. entreprises.

Les attaques de phishing « Darcula » utilisent principalement des domaines enregistrés à cet effet, imitant souvent des noms de marques légitimes, avec des domaines de premier niveau populaires, notamment .top et .com. Cloudflare est un choix d'infrastructure courant, recommandé pour masquer les adresses IP des serveurs, aux côtés de Tencent, Quadranet et Multacom.

Plus de 20 000 domaines liés à Darcula

Netcraft a identifié plus de 20 000 domaines liés à « darcula » sur 11 000 adresses IP, ciblant plus de 100 marques, avec une détection moyenne de 120 nouveaux domaines hébergeant quotidiennement des pages de phishing « darcula » depuis début 2024.

Pour échapper aux efforts de surveillance et de retrait, les sites « darcula » affichent généralement de fausses pages de vente/détention de domaines sur leur front-end. De plus, la plate-forme utilise des mesures anti-bot, redirigeant les visiteurs suspects vers des recherches Google sur diverses races de chats, reflétant son thème sur le thème des chats.

Contrairement aux attaques de phishing classiques basées sur SMS, les leurres « darcula » utilisent principalement RCS et iMessage, exploitant ces protocoles de communication alternatifs pour leur portée plus large et leurs capacités de cryptage améliorées. L'adoption par Google du RCS comme protocole de messagerie par défaut en 2023 et la prise en charge prochaine par Apple du RCS sur iOS en 2024 amplifient encore l'efficacité des campagnes de phishing de « darcula ».