Industrialisation des attaques de phishing : analyse de l'écosystème de la "fraude en tant que service" dans le monde du chiffrement

Au troisième trimestre 2024, les attaques de phishing sont devenues le moyen d'attaque entraînant le plus de pertes économiques, avec plus de 243 millions de dollars obtenus lors de 65 actions d'attaque. Ces attaques de phishing qui se produisent fréquemment sont probablement liées à l'équipe notoire d'Inferno Drainer. Cette équipe avait annoncé sa "retraite" à la fin de 2023, mais semble maintenant de nouveau active et a mené une série d'attaques à grande échelle.

Cet article analysera les méthodes typiques utilisées par des gangs de phishing tels qu'Inferno Drainer et énumérera en détail leurs caractéristiques comportementales, afin d'aider les utilisateurs à améliorer leur capacité à identifier et à prévenir les escroqueries de phishing.

Qu'est-ce que le "scam as a service"

Dans le monde du chiffrement, des équipes de phishing ont inventé un nouveau mode malveillant, appelé "escroquerie en tant que service". Ce mode regroupe des outils et services d'escroquerie pour les proposer de manière marchandisée à d'autres criminels. Inferno Drainer est un exemple typique dans ce domaine, ayant escroqué plus de 80 millions de dollars entre la première annonce de la fermeture de leurs services en novembre 2022 et novembre 2023.

Inferno Drainer aide les acheteurs à lancer rapidement des attaques en leur fournissant des outils de phishing et des infrastructures prêts à l'emploi, y compris des sites de phishing front-end et back-end, des contrats intelligents et des comptes de médias sociaux. Les phishers qui achètent ces services conservent la majeure partie du butin, tandis qu'Inferno Drainer perçoit une commission de 10 à 20 %. Ce modèle a considérablement abaissé le seuil technologique pour la fraude, rendant la cybercriminalité plus efficace et à grande échelle, ce qui a conduit à une prolifération des attaques de phishing dans l'industrie du chiffrement, en particulier ceux qui manquent de sensibilisation à la sécurité sont plus susceptibles de devenir des cibles d'attaques.

Mode de fonctionnement de la "fraude en tant que service"

Les attaquants de phishing incitent habilement les utilisateurs à exécuter des opérations non sécurisées en concevant des interfaces frontales malveillantes et des contrats intelligents. Les attaquants orientent généralement les utilisateurs vers des liens ou des boutons malveillants, les trompant ainsi pour qu'ils approuvent des transactions malveillantes cachées, et dans certains cas, ils les incitent directement à divulguer leur clé privée. Une fois que l'utilisateur a signé ces transactions malveillantes ou exposé sa clé privée, l'attaquant peut facilement transférer les actifs de l'utilisateur vers son propre compte.

Les méthodes courantes incluent :

1. Faux front-end de projets connus : les attaquants imitent soigneusement le site officiel de projets connus pour créer une interface frontale apparemment légitime, induisant en erreur les utilisateurs qui pensent interagir avec un projet de confiance.

2. Arnaques par airdrop de jetons : promouvoir à grands renforts sur les réseaux sociaux des sites de phishing, prétendant offrir des opportunités très attractives telles que "airdrops gratuits", "préventes anticipées", "minting gratuit de NFT", etc., pour inciter les victimes à cliquer sur les liens.

3. Événements de piratage fictifs et arnaques aux récompenses : prétendant qu'un projet connu a subi une attaque de hackers ou un gel d'actifs, et qu'il distribue actuellement des compensations ou des récompenses aux utilisateurs, attirant ainsi les utilisateurs vers des sites de phishing.

Méthode de partage des gains d'Inferno Drainer

Le 21 mai 2024, Inferno Drainer a publié un message de vérification de signature sur etherscan, annonçant son retour et créant un nouveau canal Discord. Nous avons analysé les transactions d'une des adresses de phishing et avons découvert le schéma de partage des profits suivant :

1. Inferno Drainer crée un contrat via CREATE2.

2. Appeler le contrat créé pour approuver les jetons de la victime à l'adresse de phishing (acheteur du service Inferno Drainer) et à l'adresse de partage des gains.

3. Transférer des jetons à deux adresses de partage et au acheteur dans des proportions différentes, pour compléter le partage.

Dans un cas concret, l'acheteur du service de phishing a emporté 82,5 % du butin, tandis que l'Inferno Drainer a conservé 17,5 %.

Étapes simples pour créer un site de phishing

Avec l'aide du "fraude en tant que service", il est devenu exceptionnellement simple pour les attaquants de créer un site Web de phishing :

1. Entrez dans le canal de communication fourni par Drainer, utilisez des commandes simples pour créer un nom de domaine et une adresse IP gratuits.

2. Choisissez un modèle parmi les centaines proposés et installez-le.

3. Attendre que la victime entre sur le site et connecte son portefeuille pour approuver la transaction malveillante.

L'ensemble du processus ne prend que quelques minutes, ce qui réduit considérablement le coût de la criminalité.

Conseils de sécurité

Face à la montée des attaques de phishing, les utilisateurs doivent rester vigilants.

• Ne croyez pas aux promesses de "gagner de l'argent facilement", comme les airdrops ou compensations suspects.
• Vérifiez attentivement l'URL du site avant de connecter votre portefeuille, soyez vigilant face aux sites imitant des projets connus.
• Protégez vos informations privées, ne fournissez pas votre phrase mnémotechnique ou votre clé privée à des sites suspects.
• Vérifiez soigneusement s'il y a des opérations de Permit ou d'Approve avant d'approuver la transaction.
• Suivre les alertes de sécurité et traiter rapidement les risques d'autorisation potentiels.

Dans le monde des chiffrement, rester vigilant et continuer à apprendre est la clé pour protéger la sécurité des actifs.