Siber Muhbir

Kampanyayı 17 Nisan 2024'te tespit eden Recorded Future'ın Ödeme Dolandırıcılığı İstihbarat ekibi, aynı içerik dağıtım ağı (CDN) oss.eriakos'un kullanılması nedeniyle kampanyaya ERIAKOS adını verdi. Com.

Şirket, "Bu sahte sitelere yalnızca mobil cihazlar ve otomatik algılama sistemlerinden kaçmayı amaçlayan bir taktik olan reklam yemleri aracılığıyla erişilebilirdi" dedi ve ağın 608 sahte web sitesinden oluştuğunu ve faaliyetin birkaç kısa ömürlü dalgayı kapsadığını belirtti.

Sofistike kampanyanın dikkate değer bir yönü, yalnızca Facebook'taki reklam tuzakları aracılığıyla dolandırıcılık sitelerine erişen mobil kullanıcıları hedeflemesi ve bunlardan bazılarının, kullanıcıları tıklamaya ikna etmek için sınırlı süreli indirimlere dayanmasıdır. Recorded Future, tek bir dolandırıcılık web sitesiyle ilgili 100 kadar Meta Reklamının bir günde sunulduğunu söyledi.

Sahte web sitelerinin ve reklamların, esas olarak büyük bir çevrimiçi e-ticaret platformunu ve bir elektrikli el aleti üreticisini taklit ettiği ve ayrıca çeşitli tanınmış markaların ürünleri için sahte satış teklifleri olan kurbanları ayırdığı tespit edildi. Bir diğer önemli dağıtım mekanizması, potansiyel kurbanları cezbetmek için Facebook'ta sahte kullanıcı yorumlarının kullanılmasını gerektirir.

Recorded Future, "Dolandırıcılık web sitelerine bağlı tüccar hesapları ve ilgili alan adları Çin'de kayıtlı, bu da bu kampanyayı yürüten tehdit aktörlerinin muhtemelen Çin'deki dolandırıcı tüccar hesaplarını yönetmek için kullandıkları işi kurduğunu gösteriyor" dedi.

Bu, kredi kartı bilgilerini toplamak ve sahte siparişlerden yasa dışı kar elde etmek amacıyla ilk kez ortaya çıkan suçlu e-ticaret ağları değil. Mayıs 2024'te, BogusBazaar olarak adlandırılan 75.000 sahte çevrimiçi mağazadan oluşan devasa bir ağın, tanınmış markaların ayakkabı ve kıyafetlerinin düşük fiyatlarla reklamını yaparak 50 milyon dolardan fazla para kazandığı keşfedildi.

Daha sonra geçen ay, Orange Cyberdefense, kredi kartı bilgilerini elde etmek amacıyla sahte mağaza ve çekiliş anket sitelerinden oluşan bir ağ aracılığıyla bağlı kuruluş pazarlama dolandırıcılıklarını teşvik etmek için kullanılan R0bl0ch0n TDS adlı daha önce belgelenmemiş bir trafik yönlendirme sistemini (TDS) ortaya çıkardı.

Güvenlik araştırmacısı Simon Vernin, "R0bl0ch0n TDS aracılığıyla yönlendiren URL'lerin ilk yayılması için birkaç farklı vektör kullanılıyor, bu da bu kampanyaların muhtemelen farklı bağlı kuruluşlar tarafından yürütüldüğünü gösteriyor" dedi.

Gelişme, arama motorunda Google Authenticator aranırken görüntülenen sahte Google reklamlarının, kullanıcıları hileli bir siteye yönlendirdiği gözlemlendi ("chromeweb-authenticators[.] com") GitHub'da barındırılan bir Windows yürütülebilir dosyası sunar ve sonuçta DeerStealer adlı bir bilgi hırsızı bırakır.

Malwarebytes'e göre, reklamları görünüşte meşru kılan şey, "google.com" dan geliyormuş gibi görünmeleri ve reklamverenin kimliğinin Google tarafından doğrulanmasıdır.

Kötü amaçlı reklam kampanyalarının ayrıca SocGholish (diğer adıyla FakeUpdates), MadMxShell ve WorkersDevBackdoor gibi diğer çeşitli kötü amaçlı yazılım ailelerini yaydığı tespit edildi ve Malwarebytes, son ikisi arasındaki altyapı örtüşmelerini ortaya çıkardı ve bu da bunların muhtemelen aynı tehdit aktörleri tarafından yürütüldüğünü gösteriyor.

Bunun da ötesinde, Angry IP Scanner reklamları, kullanıcıları sahte web sitelerine çekmek için kullanıldı ve e-posta adresi "goodgoo1ge@protonmail[.] com", hem MadMxShell hem de WorkersDevBackdoor'u teslim eden alan adlarını kaydetmek için kullanılmıştır.

Güvenlik araştırmacısı Jerome Segura, "Her iki kötü amaçlı yazılım yükü de hassas verileri toplama ve çalma yeteneğine sahip olmasının yanı sıra, fidye yazılımı dağıtımında yer alan ilk erişim aracıları için doğrudan bir giriş yolu sağlıyor" dedi.

Diğer haberlerimiz hakkında daha fazla bilgi için Twitter sayfamızı, Instagram sayfamızı ve LinkedIn sayfamızı takip etmeyi unutmayın.