Darcula Phishing Kit gekoppeld aan Chinese bedreigingsacteur
Het door China beheerde 'darcula'-platform, gespecialiseerd in Phishing-as-a-Service (PhaaS) in de Chinese taal, richt zich actief op organisaties in meer dan 100 landen met behulp van geavanceerde methoden via een netwerk van meer dan 20.000 phishing-domeinen.
'Darcula' is een geavanceerd Phishing-as-a-Service (PhaaS)-platform, dat gebruik maakt van meer dan 20.000 phishing-domeinen om cybercriminelen te faciliteren bij het lanceren van merk-phishing-campagnes. Anders dan conventionele methoden maakt 'darcula' gebruik van moderne technologieën zoals JavaScript, React, Docker en Harbor, vergelijkbaar met de technologieën die worden gebruikt door hightech startups.
Door gebruik te maken van iMessage en RCS voor tekstcommunicatie in plaats van sms, omzeilt 'darcula' sms-firewalls effectief, waardoor gerichte aanvallen op entiteiten als de USPS en andere gevestigde organisaties in meer dan 100 landen mogelijk worden. Deze aanvallen, bekend als 'smishing', omvatten vaak berichten over 'gemiste pakketten' om gebruikers te misleiden zodat ze gevoelige informatie verstrekken onder het mom van legitieme postdiensten.
Het 'darcula'-platform is betrokken bij tal van spraakmakende phishing-incidenten, waaronder oplichting gericht op zowel Apple- als Android-gebruikers in het Verenigd Koninkrijk, evenals frauduleuze pakketregelingen waarbij de identiteit van de United States Postal Service (USPS) wordt nagebootst, die de aandacht trok op Reddit's / r/phishing-forum.
Operators die 'darcula' gebruiken, verspreiden hun kwaadaardige URL's voornamelijk via RCS en iMessage, waarbij ze misbruik maken van het vertrouwen dat aan deze platforms is verbonden, terwijl ze bepaalde netwerkfilters omzeilen die doorgaans frauduleuze sms-berichten blokkeren.
Deze analyse duikt in de werking van 'darcula' en benadrukt de onderscheidende benadering van phishing-campagnes, vooral via sms-berichten, en de effectiviteit ervan bij het extraheren van cruciale gegevens van nietsvermoedende slachtoffers.
Darcula biedt kant-en-klare phishing-sjablonen
'Darcula' vertegenwoordigt een belangrijke speler in het cybercriminaliteitslandschap en biedt een op abonnementen gebaseerd model waarmee andere criminelen eenvoudig phishing-sites kunnen inzetten die zich richten op een breed scala aan wereldwijde merken met behulp van honderden sjablonen.
In tegenstelling tot traditionele phishing-kits kunnen 'darcula'-phishingwebsites naadloos worden bijgewerkt om nieuwe functies en anti-detectiemaatregelen te integreren, waardoor een duurzame doeltreffendheid wordt gegarandeerd bij het omzeilen van detectie- en handhavingsinspanningen.
Het platform biedt ondersteuning voor ongeveer 200 phishing-sjablonen, afgestemd op het exploiteren van het vertrouwen in verschillende merken in meer dan 100 landen, die zich voornamelijk richten op postdiensten, maar zich ook richten op entiteiten die afhankelijk zijn van het vertrouwen van de consument, zoals nutsbedrijven, financiële instellingen, overheidsinstanties, luchtvaartmaatschappijen en telecom. bedrijven.
Bij 'Darcula'-phishing-aanvallen wordt voornamelijk gebruik gemaakt van speciaal geregistreerde domeinen, waarbij vaak legitieme merknamen worden nagebootst, met populaire topniveaudomeinen zoals .top en .com. Cloudflare is een veelgebruikte infrastructuurkeuze, aanbevolen voor het maskeren van server-IP-adressen, naast Tencent, Quadranet en Multacom.
Meer dan 20.000 domeinen gekoppeld aan Darcula
Netcraft heeft meer dan 20.000 'darcula'-gerelateerde domeinen geïdentificeerd op 11.000 IP-adressen, gericht op meer dan 100 merken, met een gemiddelde detectie van 120 nieuwe domeinen die sinds begin 2024 dagelijks 'darcula'-phishingpagina's hosten.
Om controle- en verwijderingsinspanningen te omzeilen, tonen 'darcula'-sites doorgaans valse domeinverkoop-/vasthoudpagina's op hun frontend. Bovendien maakt het platform gebruik van anti-botmaatregelen, waarbij verdachte bezoekers worden omgeleid naar Google-zoekopdrachten voor verschillende kattenrassen, wat het kattenthema weerspiegelt.
In tegenstelling tot conventionele op SMS gebaseerde phishing-aanvallen maken 'darcula'-lokmiddelen voornamelijk gebruik van RCS en iMessage, waarbij deze alternatieve communicatieprotocollen worden benut voor hun grotere bereik en verbeterde versleutelingsmogelijkheden. De acceptatie door Google van RCS als het standaard berichtenprotocol in 2023 en de aanstaande ondersteuning van Apple voor RCS op iOS in 2024 versterken de effectiviteit van 'darcula's' phishing-campagnes verder.
