Украинская киберполиция совместно с Cisco раскрыла фишинговую кампанию на сотни BTC

В сентябре 2017 года украинская киберполиция совместно с подразделнием Cisco Talos начали совместное расследование одной из наиболее масштабных фишинговый кампаний, направленных на сервис кошельков Blockchain.info. По оценкам правоохранителей, только с сентября по декабрь 2017 года злоумышленникам удалось украсть у пользователей более 700 BTC. При этом, группа начала действовать еще с 2014 года.

В Cisco Talos подробно описали механизм фишинговой кампании, которую назвали Coinhoarder. Хакеры использовали рекламу Google Adwords в поисковой выдаче, чтобы заманить пользователей на клоны популярного сервиса кошельков Blockchain.info. Они слегка изменяли написание доменного имени сервиса, а для большей убедительности поддельные сайты SSL-сертификаты.

По данным Cisco, кампания исходила из Украины. В некоторые дни DNS-запросов на поддельные сайты достигало 200 000. Такие ресурсы использовались в качестве “шлюзов”. После захода на фейковый block-clain[.]info по рекламному объявлению, жертвы сразу перенаправлялись на еще один поддельный сайт blockchalna[.]info. На этой посадочной странице, которая выглядела идентично с настоящим blockchain.info и находился фишинговый контент.

Поддельный лендинг, который использовали в фишинговой кампании. Изображение: Cisco Talos

Исследователи определили, что кампания была направлена в первую очередь на жителей Нигерии, Ганы и Эстонии. Хотя пострадавшие были и из Румунии, Японии, Филппин.

Регионы, с которого заходили на один из поддельных сайтов

В Talos считают, что хакеры были нацелены на пользователей из африканских и других развивающих стран из-за того, что доступ к банковским услугам в них усложнен, а местные валюты менее стабильны, чем виртуальные. Кроме того, английский для местных жителей не является родным языком. По-этому они с меньшей вероятностью могли заметить опечатки в доменном имени сайта.

Как утверждают в украинской киберполиции, с сентября по декабрь 2017 года, злоумышленникам удалось украсть криптовалюты на сумму 700 BTC. “Мы считаем, что эта группа начала свою деятельность еще в конце 2014 года. За три года их общий доход мог превысить сотни миллионов долларов”, – добавляют правоохранители. В Cisco оценили доход организаторов Cionhoarder в более $50 млн за последние три года. Специалисты по информационной безопасности Blockchain.info утверждают, что эта фишинговая кампания стала одной из наиболее масштабных в истории компании.