Фишинг-сервис Robin Banks поменял хостинг и вновь в строю

Фишинг-сервис Robin Banks поменял хостинг и вновь в строю

Фишинг-сервис Robin Banks поменял хостинг и вновь в строю

После того как IronNet предала огласке деятельность Robin Banks, провайдер Cloudflare внес в черный список домены фишинг-сервиса, которому пришлось приостановить работу. Спустя некоторое время вредоносная инфраструктура ожила — теневые бизнесмены перенесли фронтенд и бэкенд к российскому хостеру DDoS-Guard и усилили защиту платформы от блокировки.

По данным экспертов, PhaaS-сервис Robin Banks существует в Сети как минимум с августа 2020 года. Версия фишинг-платформы, попавшая в поле зрения IronNet, была введена в строй в марте-апреле этого года и проработала до конца июля, пока Cloudflare не отключил ее от своих служб.

Подписчикам Robin Banks предлагается доступ к фишинг-паку, позволяющему воровать финансовую информацию, а также учетки Google и Microsoft у жителей США, Канады, Великобритании и Австралии. Код вредоносного инструмента обфусцирован с помощью специального PHP-скрипта, опубликованного на GitHub.

Сменив хостинг-провайдера, владельцы PhaaS приняли меры защиты вредоносной активности от обнаружения. В частности, была введена двухфакторная аутентификация (2FA) на вход в GUI; подписчикам также предоставлена возможность использования Telegram-бота для сбора украденных данных.

Стоящая за Robin Banks кибергруппа даже попыталась создать закрытый канал Telegram для общения с клиентами, но просуществовал он недолго. Администрации пришлось отбиваться от любителей халявы; в ходе одной из таких перепалок представитель PhaaS-сервиса вспылил и открыл общий доступ к каналу, который тут же наполнился спамом.

Чтобы избавить клиентов от непрошеных посетителей, были созданы редиректоры. Под них закупили множество новых доменов, в том числе ironnet[.]click и ironpages[.]club (видимо, в пику экспертам, раскрывшим преступный бизнес). Первый поддельный IronNet-домен недолго использовался для перенаправления на админ-интерфейс, второй — для хостинга содержимого фишинг-пака (оба уже недоступны).

Редирект-функциональность фиш-пака Robin Banks реализована путем привязки его к серверам Adspect — инструмента сторонней разработки, позволяющего отсеивать источники трафика на основе черных списков, фингерпринта и ИИ-технологий.

Из новых функций, доступных подписчикам, исследователи особо отметили опцию кражи куки, предлагаемую за отдельную плату. По всей видимости, PhaaS-сервис решил расширить аудиторию, охватив также APT-группы, которым зачастую требуется обойти 2FA. Метод, позиционируемый как собственная разработка, использует новейшую версию evilginx — популярного у киберкриминала инструмента с открытым исходным кодом, позволяющего создавать обратный прокси.

 

Возрожденный Robin Banks — не единственная новинка на рынке готового инструментария для фишинга, о которой ИБ-экспертам стало известно в этом году. К сожалению, PhaaS-услуги пользуются спросом; в ответ плодятся такие сервисы, как EvilProxy и Caffeine.

Представители DDoS-Guard поделились комментарием и прояснили свою позицию:

«Компания DDoS-Guard не занимается «коллекционированием» сервисов злоумышленников, как нам приписывают в СМИ. Мы разрабатываем и применяем собственные методики для обнаружения и борьбы с фишинговыми сайтами, подробнее об этом можно прочитать в нашем блоге.

Мы не приветствуем незаконную деятельность и обман пользователей и немедленно реагируем, обнаружив нарушения Политики использования сервисов DDoS-Guard. В настоящий момент услуги защиты от DDoS-атак для фишинг-сервиса Robin Banks не предоставляются».

На взлом робота нужно не больше часа

Большинство коммерческих роботов сегодня содержит значительное число уязвимостей. Как предупреждают китайские эксперты, получение полного контроля над такими устройствами может занять не более часа, а некоторые модели удаётся взломать всего за считаные минуты.

Как рассказал китайскому изданию «Ицай» сотрудник исследовательской и сервисной компании Darknavy Сяо Сюанган, уровень безопасности в современной робототехнике остаётся крайне низким. По его словам, на получение контроля над робособакой Deep Robotics Lite у него ушло менее часа.

Его коллега, эксперт Darknavy Цюй Шипей, продемонстрировал журналистам ещё более наглядный пример — взлом системы управления гуманоидного робота Unitree Robotics занял у него чуть больше одной минуты.

По словам Сяо Сюангана, атака на робота обычно состоит из двух этапов. Сначала злоумышленник получает удалённый доступ к устройству, а затем обходит штатные системы управления и получает прямой контроль над приводами. В таком сценарии робот теоретически может быть использован для агрессивных и потенциально опасных действий.

Инженер-робототехник Линь Ипэй считает, что уязвимости на текущем этапе развития робототехники во многом неизбежны. Многие производители сознательно оставляют доступ к низкоуровневым функциям и возможность удалённого входа — это упрощает отладку и обновление программного обеспечения. По мере взросления технологий такие механизмы обычно закрываются, как это ранее произошло в автомобильной индустрии.

При этом, как отмечает издание, инциденты с роботами, вышедшими из-под контроля, уже фиксировались на практике. В одном случае сотрудник робототехнической компании получил травму из-за некорректных действий робота. В другом — на выставке в Пекине робособака врезалась в группу детей.

По данным журналистов, значительная часть компаний, работающих в сфере робототехники, вовсе не имеет специализированных подразделений информационной безопасности. Среди крупных производителей собственная ИБ-служба есть лишь у Unitree Robotics.

RSS: Новости на портале Anti-Malware.ru