Phishing, vishing, przejmowanie portfeli kryptowalutowych, a wszystko przy wsparciu AI – kulisy operacji ASTERIX

Vishing, wiadomości phishingowe, fałszywe aplikacje udające portfele kryptowalutowe oraz kod do eksfiltracji danych za pomocą platformy Telegram to tylko niektóre elementy szeroko zakrojonej kampanii, określonej przez badaczy z Rapid7 mianem “Operacja ASTERIX”. Nazwa pochodzi od oprogramowania Asterisk – otwartoźródłowego systemu telefonii IP (PBX) odnalezionego na serwerze atakujących.

TLDR:

• Badacze bezpieczeństwa z Rapid7 zidentyfikowali otwarty katalog sieciowy w infrastrukturze C2 atakujących.
• Okazało się, że nie był to ślad po dawnych działaniach, tylko aktywnie używany zasób zawierający szereg informacji związanych z aktualnie prowadzoną kampanią.
• Skrypty automatyzujące działania, złośliwe aplikacje podszywające się pod portfele kryptowalutowe oraz strony phishingowe, a wszystko starannie przygotowywane za pomocą narzędzi sztucznej inteligencji – takie artefakty znajdowały się w arsenale cyberprzestępców.
• Cyberprzestępcom nie zależało na masowych atakach, lecz na precyzyjnych działaniach wymierzonych w starannie wyselekcjonowane grupy użytkowników posiadających aktywne konta w serwisach kryptowalutowych.

Badacze zidentyfikowali otwarty katalog sieciowy w infrastrukturze C2 atakujących. Okazało się, że zawierał szczegółowe informacje na temat prowadzonych działań, wykorzystywanych narzędzi oraz potencjalnych użytkowników będących na celowniku cyberprzestępców. Repozytorium zawierało bazę numerów telefonów oraz szereg skryptów pozwalających m.in. na automatyczne generowanie połączeń telefonicznych. W przypadku odebrania połączenia, system automatycznie przekazywał rozmowę do “żywego konsultanta”, odtwarzał nagraną wiadomość głosową lub uruchamiał interaktywne menu z opcją wyboru IVR (Interactive Voice Response).

Co ciekawe, wśród wykrytych artefaktów znajdowały się zarówno historia poleceń używanych w terminalu jak i pliki projektowe potwierdzające, że cyberprzestępcy korzystali z narzędzi sztucznej inteligencji. Nie było to jednak okazjonalne użycie do generowania pojedynczych fragmentów kodu. AI była obecna praktycznie na każdym etapie wytwarzania oprogramowania. Wspierała atakujących podczas kompilacji aplikacji z kodów źródłowych (Electron), implementacji metod obfuskacji złośliwego kodu oraz rozwiązywania problemów z zależnościami. Pomagała przygotować złośliwe kompilacje popularnych portfeli kryptowalutowych Ledger, Trezor i Exodus.

Gdy używany model AI zaczął stawiać opór wobec niektórych zadań, cyberprzestępcy próbowali obejść jego zabezpieczenia za pomocą różnych promptów typu jailbreak. W sytuacjach gdy nie przynosiło to oczekiwanych efektów, zmieniali dostawcę oprogramowania, a następnie ponawiali zadania.  

Jak przebiegał atak?

Dysponując bazą danych numerów telefonów (pochodzących najprawdopodobniej z różnych wycieków) atakujący skupili się na wyodrębnieniu kontaktów powiązanych z kontami na giełdach kryptowalut (Crypto.com). Nie robili tego manualnie tylko skorzystali z automatycznych skryptów napisanych w Pythonie do odpytywania interfejsów API. Narzędzie posiadało funkcję zrównoleglania zapytań (możliwość uruchomienia do 300 wątków jednocześnie), mechanizm ponawiania prób oraz rotację adresów IP (proxy). W ten sposób cyberprzestępcom udało się potwierdzić około 43 tys. aktywnych kont z niemieckiej bazy zawierającej ponad 316 tys. numerów telefonów.

Atakujący nie ograniczali się jedynie do jednej platformy ani pojedynczego regionu. Analiza plików potwierdziła obecność skryptów weryfikujących dla giełdy Kraken oraz baz danych użytkowników portfeli Ledger. Po potwierdzeniu aktywności kont, kolejnym etapem było pozyskanie jak największej liczby danych personalnych wytypowanych osób. Łącząc informacje pozyskane z różnych wycieków danych, cyberprzestępcy byli w stanie ustalić m.in. imiona, nazwiska, adresy e-mail, lokalizację użytkownika, kontekst konta, a czasem także numery kart płatniczych. Zgromadzone informacje trafiały do bazy danych valid_leads.db, a następnie służyły jako element uwiarygodnienia wielokanałowych ataków phishingowych i vishingowych.

Cyberprzestępcy kontaktowali się z użytkownikiem, generując fałszywe zgłoszenie serwisowe w panelach phishingowych podszywając się pod znane marki (Crypto.com, Binance), a następnie wysyłali do ofiary spersonalizowaną wiadomość email z numerem incydentu. 

Razem z wiadomością następował kontakt telefoniczny, podczas którego atakujący wyjaśniali rzekomy problem z naruszeniem bezpieczeństwa. Skrypty takie jak autodialer.sh, power_dialer.sh oraz oprogramowanie centrów telefonicznych Asterisk sugerują, że proces nawiązywania połączeń był w części lub całości zautomatyzowany.

Aby się uwiarygodnić atakujący posługiwali się prawdziwymi danymi osobowymi rozmówcy oraz powoływali się na numer incydentu tożsamy z numerem przesłanym drogą mailową. Podczas rozmowy nakłaniali użytkownika do pobrania zainfekowanej aplikacji portfela kryptowalutowego (Ledger, Exodus). Instalacja złośliwego oprogramowania oraz wprowadzenie w nim danych do odzyskania konta (seed phrase) skutkowały natychmiastowym wyczyszczeniem konta przez boty na Telegramie.

Analiza logów potwierdza, że cyberprzestępcom nie zależało na masowym, w pełni zautomatyzowanym phishingu. Zamiast tego skupili się na precyzyjnym uderzeniu w starannie wyselekcjonowane grupy użytkowników. Co więcej, przeprowadzenie każdego ataku (od pewnego etapu) wymagało bezpośredniego zaangażowania operatora.  

Dzięki temu, że infrastruktura atakujących została wykryta w trakcie realizacji kampanii, badacze mogli szczegółowo zapoznać się ze sposobem działania cyberprzestępców oraz poznać kulisy ich operacji. Kluczową rolę w procesie automatyzacji zadań oraz wytwarzania złośliwego oprogramowania odegrała sztuczna inteligencja. Bez niej można bezpiecznie założyć, że przygotowanie tak dopracowanych i wielokanałowych ataków, przy tak krótkim reżimie czasowym byłoby praktycznie nieosiągalne. 

Źródło: rapid7.com/blog 

~_secmike