Un groupe \u00e0 motivation financi\u00e8re bas\u00e9 en Chine tire parti de la confiance associ\u00e9e aux marques internationales populaires pour orchestrer une campagne de phishing \u00e0 grande \u00e9chelle remontant \u00e0 2019.<\/p>\n
L’acteur mena\u00e7ant, surnomm\u00e9 Fangxiao <\/b>par Cyjax, aurait enregistr\u00e9 plus de 42 000 domaines imposteurs<\/a>avec une premi\u00e8re activit\u00e9 constat\u00e9e en 2017.<\/p>\n “Il cible les entreprises de plusieurs secteurs verticaux, notamment la vente au d\u00e9tail, la banque, les voyages et l’\u00e9nergie”, ont d\u00e9clar\u00e9 les chercheurs Emily Dennison et Alana Witten. a dit<\/a>. “Les incitations financi\u00e8res ou physiques promises sont utilis\u00e9es pour inciter les victimes \u00e0 diffuser davantage la campagne via WhatsApp.”<\/p>\n Les utilisateurs cliquant sur un lien envoy\u00e9 via l’application de messagerie sont dirig\u00e9s vers un site contr\u00f4l\u00e9 par un acteur, qui, \u00e0 son tour, les envoie vers un domaine d’atterrissage se faisant passer pour une marque bien connue, d’o\u00f9 les victimes sont \u00e0 nouveau dirig\u00e9es vers des sites distribuant des applications frauduleuses et de fausses r\u00e9compenses.<\/p>\n Ces sites invitent les visiteurs \u00e0 remplir un sondage pour r\u00e9clamer des prix en argent, en \u00e9change desquels on leur demande de transmettre le message \u00e0 cinq groupes ou 20 amis. La redirection finale d\u00e9pend cependant de l’adresse IP de la victime et du navigateur Cha\u00eene utilisateur-agent<\/a>.<\/p>\n Plus de 400 organisations, dont Emirates, Shopee, Unilever, Indomie, Coca-Cola, McDonald’s et Knorr, sont imit\u00e9es dans le cadre du stratag\u00e8me criminel, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n Alternativement, des attaques dans lesquelles des publicit\u00e9s mobiles frauduleuses sont cliqu\u00e9es \u00e0 partir d’un appareil Android ont abouti au d\u00e9ploiement d’un cheval de Troie mobile appel\u00e9 Triada, qui a r\u00e9cemment \u00e9t\u00e9 rep\u00e9r\u00e9 se propageant via de fausses applications WhatsApp.<\/p>\n Ce n’est pas seulement Triada, car une autre destination de la campagne est la liste Google Play Store d’une application appel\u00e9e “App Booster Lite – RAM Booster” (com.app.booster.lite.phonecleaner.batterysaver.cleanmaster<\/a>), qui compte plus de 10 millions de t\u00e9l\u00e9chargements.<\/p>\n L’application, cr\u00e9\u00e9e par un d\u00e9veloppeur tch\u00e8que connu sous le nom de LocoMind, est d\u00e9crite comme un “Powerful Phone Booster”, https:\/\/thehackernews.com\/2022\/11\/”Smart Junk Cleaner” et un “Effective Battery Saver”.<\/p>\n Les critiques de l’application ont appel\u00e9 l’\u00e9diteur pour avoir diffus\u00e9 trop d’annonces, et ont m\u00eame soulign\u00e9 qu’elles “sont arriv\u00e9es ici [the Play Store page] de l’une de ces publicit\u00e9s ‘votre android est endommag\u00e9 x%’.”<\/p>\n “Notre application ne peut pas propager de virus”, a r\u00e9pondu LocoMind \u00e0 l’examen le 31 octobre 2022. “Chacune de nos mises \u00e0 jour est v\u00e9rifi\u00e9e par Google Play – ils auraient supprim\u00e9 notre application il y a longtemps pour cette raison.”<\/p>\n Si la m\u00eame action est effectu\u00e9e \u00e0 partir d’un appareil fonctionnant sous iOS, la victime est redirig\u00e9e vers Amazon via un lien d’affiliation, ce qui rapporte \u00e0 l’acteur une commission pour chaque achat sur la plateforme de commerce \u00e9lectronique effectu\u00e9 au cours des prochaines 24 heures.<\/p>\n Les connexions de l’auteur de la menace avec la Chine d\u00e9coulent de la pr\u00e9sence de texte en mandarin dans un service Web associ\u00e9 \u00e0 aaPanel<\/a>un panneau de contr\u00f4le open source bas\u00e9 sur Python pour l’h\u00e9bergement de plusieurs sites Web.<\/p>\n Une analyse plus approfondie des certificats TLS d\u00e9livr\u00e9s aux domaines de l’enqu\u00eate en 2021 et 2022 r\u00e9v\u00e8le qu’une grande partie des enregistrements chevauchent le fuseau horaire UTC+08:00, qui correspond \u00e0 l’heure normale de la Chine de 9h00 \u00e0 23h00.<\/p>\n “Les op\u00e9rateurs sont exp\u00e9riment\u00e9s dans la gestion de ce type de campagnes d’imposteurs, d\u00e9sireux d’\u00eatre dynamiques pour atteindre leurs objectifs, et techniquement et logistiquement capables d’\u00e9voluer pour d\u00e9velopper leur activit\u00e9”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n “Les campagnes Fangxiao sont des m\u00e9thodes efficaces de g\u00e9n\u00e9ration de leads qui ont \u00e9t\u00e9 redirig\u00e9es vers divers domaines, des logiciels malveillants aux liens de r\u00e9f\u00e9rence, en passant par les publicit\u00e9s et les logiciels publicitaires.”<\/p>\n <\/p>\n<\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/1668697406_683_Des-pirates-chinois-utilisent-42-000-domaines-dimposteurs-dans-le.png\"\/)
<\/div>\n