Kit di phishing Darcula collegato all'attore cinese
La piattaforma "Darcula", gestita in Cina, specializzata in Phishing-as-a-Service (PhaaS) in lingua cinese, prende di mira attivamente organizzazioni in più di 100 paesi utilizzando metodi sofisticati attraverso una rete di oltre 20.000 domini di phishing.
"Darcula" è una piattaforma avanzata di Phishing-as-a-Service (PhaaS), che utilizza oltre 20.000 domini di phishing per facilitare i criminali informatici nel lancio di campagne di phishing con marchio. A differenza dei metodi convenzionali, "darcula" utilizza tecnologie moderne come JavaScript, React, Docker e Harbour, simili a quelle utilizzate dalle startup high-tech.
Sfruttando iMessage e RCS per le comunicazioni di testo invece che per gli SMS, "darcula" aggira efficacemente i firewall SMS, consentendo attacchi mirati a entità come USPS e altre organizzazioni consolidate in oltre 100 paesi. Questi attacchi, noti come "smishing", spesso coinvolgono messaggi riguardanti "pacchi mancati" per indurre gli utenti a fornire informazioni sensibili con il pretesto di servizi postali legittimi.
La piattaforma "darcula" è stata implicata in numerosi incidenti di phishing di alto profilo, comprese truffe rivolte sia agli utenti Apple che Android nel Regno Unito, nonché schemi di pacchetti fraudolenti che si spacciano per il servizio postale degli Stati Uniti (USPS), che hanno attirato l'attenzione su Reddit / forum r/phishing.
Gli operatori che utilizzano "darcula" distribuiscono i loro URL dannosi principalmente tramite RCS e iMessage, sfruttando la fiducia associata a queste piattaforme ed eludendo alcuni filtri di rete che in genere bloccano i messaggi SMS truffa.
Questa analisi approfondisce i meccanismi di "darcula", evidenziando il suo approccio distintivo alle campagne di phishing, in particolare tramite messaggi di testo, e la sua efficacia nell'estrarre dati critici da vittime ignare.
Darcula offre modelli di phishing già pronti
"Darcula" rappresenta un attore significativo nel panorama del crimine informatico, offrendo ad altri criminali un modello basato su abbonamento per implementare facilmente siti di phishing che prendono di mira un'ampia gamma di marchi globali utilizzando centinaia di modelli.
A differenza dei tradizionali kit di phishing, i siti web di phishing "darcula" possono aggiornarsi senza problemi per integrare nuove funzionalità e misure anti-rilevamento, garantendo un'efficacia prolungata nell'eludere il rilevamento e gli sforzi di applicazione delle norme.
La piattaforma vanta il supporto per circa 200 modelli di phishing, personalizzati per sfruttare la fiducia in vari marchi in oltre 100 paesi, concentrandosi prevalentemente sui servizi postali ma prendendo di mira anche entità che fanno affidamento sulla fiducia dei consumatori, come servizi pubblici, istituti finanziari, agenzie governative, compagnie aeree e telecomunicazioni. aziende.
Gli attacchi di phishing "Darcula" utilizzano prevalentemente domini registrati appositamente, spesso imitando nomi di marchi legittimi, con domini di primo livello popolari tra cui .top e .com. Cloudflare è una scelta infrastrutturale comune, consigliata per mascherare gli indirizzi IP dei server, insieme a Tencent, Quadranet e Multacom.
Oltre 20.000 domini collegati a Darcula
Netcraft ha identificato oltre 20.000 domini correlati a "darcula" su 11.000 indirizzi IP, prendendo di mira oltre 100 marchi, con un rilevamento medio di 120 nuovi domini che ospitano pagine di phishing "darcula" ogni giorno dall'inizio del 2024.
Per eludere il monitoraggio e gli sforzi di rimozione, i siti "darcula" in genere mostrano pagine false di vendita/mantenimento di domini sul loro front-end. Inoltre, la piattaforma impiega misure anti-bot, reindirizzando i visitatori sospetti alle ricerche di Google relative a varie razze di gatti, riflettendo il suo tema a tema felino.
A differenza dei tradizionali attacchi di phishing basati su SMS, le esche "darcula" utilizzano prevalentemente RCS e iMessage, sfruttando questi protocolli di comunicazione alternativi per la loro portata più ampia e le capacità di crittografia avanzate. L'adozione di RCS da parte di Google come protocollo di messaggistica predefinito nel 2023 e l'imminente supporto di Apple per RCS su iOS nel 2024 amplificano ulteriormente l'efficacia delle campagne di phishing di "darcula".
