「Operation ASTERIX」と呼ばれるこのキャンペーンは、アカウント確認、フィッシングメール、音声通話、偽の暗号資産ウォレットアプリ、そしてTelegramを悪用したデータ窃取を組み合わせたものです。
この名称は、露出したサーバー上で見つかったオープンソースの電話システム「Asterisk」に由来します。攻撃者はこのシステムを利用し、自動音声通話と偽のサポートメール、悪意あるウォレットソフトウェアを連携させることで、ボイスフィッシング(ビッシング)を支援していました。
この公開状態にあったディレクトリのおかげで、研究者たちは今回の攻撃活動を異例なほど詳細に把握することができました。中には生の電話番号リスト、アカウント確認ツール、フィッシング用パネル、リード(見込み客)データベース、自動発信スクリプト、偽のLedger、Trezor、Exodusアプリ、さらには盗み出したウォレットのリカバリーフレーズをTelegramボットへ送信するためのコードが含まれていました。
Rapid7は、インフラの多くがまだ稼働している段階で、関係するプロバイダーや当局に通報したと述べています。またAppleのセキュリティチームにも、この活動について通知が行われました。
攻撃者は単に無作為な番号に電話をかけていたわけではありません。まず一括検証ツールを使い、その電話番号が暗号資産アカウントと紐づいているかどうかを判定していました。これにより、デジタル資産を保有している可能性が高い人物に絞って詐欺行為を集中させることができていたのです。
復元されたツールの一つは、Crypto.comのアカウント確認用エンドポイントを標的にしていました。このツールは300の同時実行スレッド、リトライ処理、そしてローテーションするレジデンシャルプロキシを使い、電話番号を次々と送信していました。
31万6,002件のモバイル番号を含むドイツのデータセットからは、このツールにより4万3,066件の暗号資産関連アカウントが確認されたと報告されており、ヒット率はおよそ13.6%に上ります。
その他のファイルからは、運営者らがKrakenのアカウント確認ツールに加え、Ledgerユーザー、英国の標的、カナダのフィンテックユーザー、香港在住者、その他の地域向けにそれぞれ個別のデータセットを保持していたことが判明しています。Ledger関連の記録は、54か国分のファイルに分割されていました。
検証を終えると、グループは特に価値の高い記録に肉付けを行っていました。valids.txtやvalid_leads.dbといったファイルには、氏名、メールアドレス、電話番号、所在地の詳細、アカウント関連情報、さらには場合によって決済カード情報まで含まれていたと報告されています。このデータにより、詐欺師は電話をかけた際の受け答えに信憑性を持たせることができていました。
例えば、攻撃者はまず標的に対し偽のセキュリティ案件についてメールを送り、その後電話をかけて同じ案件番号や確認コードを口にする、といった手口が可能でした。
発信者が被害者の氏名や、利用している可能性のある取引所とのつながりをあらかじめ把握していたため、このやり取りは正規のカスタマーサポートのように見えてしまう恐れがありました。
フィッシング用パネルは、Crypto.comやBinanceなどのブランドになりすましていました。一方、AsteriskおよびAsterisk 3CXの電話システムソフトウェアが、発信業務を支えていました。
autodialer.shやpower_dialer.shといったスクリプトの存在から、運営者らが発信作業の一部を自動化できていたことがうかがえます。
しかし、復元されたログを見ると、2週間の間に確認されたメール送信やリード検索の件数は限られていました。この点についてRapid7は、これは広範な自動フィッシング活動というより、標的を絞り込んだ手作業主体のキャンペーンであることを示唆していると述べています。
注: IPアドレスおよびドメインは、意図せぬ名前解決やハイパーリンク化を防ぐため、意図的にディフェンジング処理(例: [.])を施しています。再度有効な形式に戻す際は、MISP、VirusTotal、あるいは自社のSIEMなど、管理されたスレットインテリジェンス基盤の中でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。SOCを強化しMTTRを短縮するための、包括的なフィッシング可視化を手に入れましょう
翻訳元: https://cyberpress.org/asterix-crypto-user-targeting/
