Phishing na AliExpress i ukryci Rosjanie

Dwa głośne przypadki nadużyć w sieci

Minione dni przyniosły dwa różne, ale równie niepokojące wątki ze świata cyberbezpieczeństwa. W jednym przypadku badacze wykryli domeny phishingowe jeszcze przed ich rejestracją, a potem obserwowali, jak prowadzą do fałszywej strony podszywającej się pod AliExpress. W drugim amerykański resort sprawiedliwości zarzucił firmie zajmującej się cyfrową kryminalistyką, że ukrywała rosyjskie powiązania, by zdobywać kontrakty od instytucji rządowych USA.

Choć to dwa różne incydenty, oba pokazują ten sam problem: atakujący i nieuczciwi operatorzy coraz częściej budują całe łańcuchy ukrywania tożsamości, zanim ofiara w ogóle zobaczy stronę logowania albo kupi produkt.

Domeny wykryte, zanim trafiły do rejestru

Badacze z EfficientIP Research Labs wskazali 10 adresów w domenie .cyou, które zauważyli na kilka tygodni przed ich rejestracją. Z czasem domeny rzeczywiście zostały zarejestrowane, zaczęły kierować ruch na wskazane adresy IP i finalnie prowadziły do kampanii phishingowej związanej z AliExpress.

Wszystkie 10 nazw miało bardzo podobny schemat: jedna cyfra i pięć małych liter. Zarejestrowano je tego samego dnia, a każda z nich wskazywała na jeden z trzech adresów IP w tej samej podsieci. Badacze określili ten wzorzec jako przypominający DGA, czyli Domain Generation Algorithm, choć zaznaczyli, że sam układ nazw nie dowodzi użycia takiego mechanizmu.

Istotne jest to, że same domeny nie hostowały finalnej strony phishingowej. Służyły raczej jako warstwa pośrednia, przez którą ruch był przekierowywany dalej z parametrami kampanii, kliknięcia lub afiliacji. Taki model pozwala operatorowi łatwo podmieniać elementy infrastruktury bez przebudowy całej kampanii.

Finał: fałszywy sklep i podrobiona wtyczka

Łańcuch przekierowań prowadził do strony stylizowanej na narzędzie zakupowe, wykorzystujące literę 0 zamiast „o” w słowie „shop”. Serwis promował rozszerzenie przeglądarki wyglądające jak popularna, legalna marka pomocnika zakupowego. Na stronie zachęcano do kliknięcia przycisku „Add to Browser”.

Według analizy tego typu kampania może być groźna z kilku powodów:

• prowadzi do kradzieży danych logowania,
• może skutkować wyłudzeniem danych płatniczych,
• może ujawniać historię przeglądania,
• a parametry afiliacyjne mogą generować zysk dla operatora kampanii.

Warto jednak zaznaczyć, że w opisie nie wskazano ofiar ani konkretnych strat. Badacze podkreślili też, że nie wiadomo dokładnie, w jaki sposób użytkownicy trafiali na te domeny, ani co dokładnie robiło samo rozszerzenie poza tym, że udawało legalne narzędzie.

Dlaczego takie domeny są groźne

To klasyczny przykład kampanii, która korzysta z faktu, że nowo zarejestrowane domeny mają słabą reputację lub nie mają jej wcale. Jeśli zabezpieczenia opierają się głównie na historii domeny, pierwszym odwiedzającym może umknąć zagrożenie.

Dodatkowo końcówka .cyou nie jest sama w sobie dowodem złośliwości, ale bywa częściej wykorzystywana w nadużyciach. W jednej z przywołanych analiz aż 62% wiadomości e-mail z domeny .cyou w 2023 roku miało charakter złośliwy. To nie oznacza, że każda domena z tym rozszerzeniem jest niebezpieczna, ale pokazuje, że operatorzy kampanii lubią wykorzystywać mniej oczywiste rejestry.

Zalecenia obronne

W reakcji na kampanię rekomendowano:

• zablokowanie wskazanych domen i adresów IP,
• przeszukanie logów DNS i proxy pod kątem wcześniejszych połączeń,
• w razie interakcji z witryną — zmianę haseł,
• kontakt z wydawcą karty płatniczej,
• oraz usunięcie podejrzanego rozszerzenia z przeglądarki.

Drugi wątek: rzekomo amerykańska firma, faktycznie rosyjska

Równolegle amerykańskie władze postawiły zarzuty osobom związanym z firmą Oxygen Forensics. Według Departamentu Sprawiedliwości firma, która sprzedawała narzędzia do analizy zawartości telefonów i innych urządzeń, miała ukrywać rosyjskie powiązania, aby zdobywać kontrakty od instytucji rządowych w USA, w tym od Departamentu Obrony, Department of Homeland Security, Secret Service oraz jednostek związanych z forensyką cyfrową.

W sprawę zaangażowano dwóch menedżerów: Lee Reibera, który został opisany jako CEO Oxygen Forensics w USA i został zatrzymany w Idaho, oraz Olega Davydova, jednego z pięciu rosyjskich obywateli faktycznie kontrolujących firmę, zatrzymanego w Londynie. Obaj usłyszeli zarzuty spisku w celu popełnienia oszustwa bankowego i wyłudzenia.

Co według śledczych ukrywano

Z dokumentów przywołanych przez prokuraturę ma wynikać, że po rozszerzeniu sankcji wobec Rosji w 2022 roku firma miała jeszcze mocniej dbać o to, by prezentować się jako podmiot amerykański. Reiber został wtedy formalnie umieszczony na stanowisku prezesa, a rosyjskich właścicieli usunięto z publicznych dokumentów korporacyjnych.

Jednocześnie, jak twierdzą śledczy, decyzje biznesowe nadal miały zapadać po stronie rosyjskich udziałowców. W aktach pojawia się też teza, że gdyby instytucje rządowe znały rzeczywistą strukturę własności, nie przyznałyby lub nie przedłużyłyby kontraktów na to oprogramowanie.

Sprzęt i oprogramowanie wrażliwe dla państwa

Oxygen Forensics sprzedaje narzędzia wykorzystywane w cyfrowej kryminalistyce, czyli do odzyskiwania i analizy danych z telefonów oraz innych urządzeń. Tego typu oprogramowanie bywa używane w śledztwach, więc zaufanie do dostawcy ma kluczowe znaczenie.

Departament Sprawiedliwości zaznaczył przy tym, że akt oskarżenia nie zarzuca oprogramowaniu zawartości złośliwego kodu ani nie twierdzi, że użyto go do nieautoryzowanego dostępu do systemów klientów. Problem dotyczy przede wszystkim ukrywania własności i możliwego wprowadzania w błąd zamawiających.

Szerszy wniosek: infrastruktura i zaufanie są równie ważne jak kod

Oba opisywane przypadki pokazują, że w cyberbezpieczeństwie sama technologia to tylko część obrazu. W kampaniach phishingowych liczy się nie tylko fałszywa strona końcowa, ale też cała infrastruktura pośrednia: domeny, przekierowania, parametry śledzące i obchodzenie mechanizmów reputacyjnych.

Z kolei w zamówieniach publicznych i narzędziach forensycznych równie istotne jak funkcje produktu jest to, kto naprawdę kontroluje firmę i czy deklaracje dostawcy zgadzają się z rzeczywistością.

W obu sprawach centralnym problemem pozostaje zaufanie — a cyberbezpieczeństwo od dawna uczy, że najpierw trzeba je zweryfikować, zanim się na nim oprze decyzję.