メキシコの金融セクターが、フィッシング詐欺プラットフォーム「Balonx Sistema」による脅威の高まりに直面しています。このPhaaS(Phishing-as-a-Service)は、20行を超える銀行を標的にしています。
この攻撃活動は、リアルタイムフィッシング、Androidマルウェア、ローテーションするドメイン、そしてAIを活用した音声詐欺を組み合わせ、銀行の認証情報や金融データを窃取します。
Group-IBの研究者らは、Balonxがメキシコ国内の個人によって運営されるサブスクリプション型の犯罪サービスであることを突き止めました。このプラットフォームは、少なくとも2025年10月以降、1,100人を超える被害者から認証情報や金融情報を窃取したとみられています。
Balonxはテレマーケティング詐欺に関連するFacebookグループを通じて宣伝され、Telegramを通じてアフィリエイトを募集しています。週単位のプランを提供しており、技術力の乏しい犯罪者でも銀行詐欺を仕掛けられるようになっています。
個人向けプランでは2台のデバイスに対応し、オフィス向けプランでは最大8つの下位アカウントを利用できます。支払いは暗号資産取引サービスを使って自動化されており、運営者はまるで商用のSaaS事業のようにこのプラットフォームを運営しています。
偽のウェブページを通じて認証情報を収集するだけの通常のフィッシングキットとは異なり、Balonxは被害者のフィッシングページと攻撃者の管理パネルとの間で持続的なWebSocket接続を維持します。これにより、犯罪者は被害者をリアルタイムで監視し、セッションの最中にページの内容を変更できます。
運営者は最大14種類の偽画面を配信できます。これには銀行のログインページ、SMSワンタイムパスワード、ATMのPIN、カード情報、出金コード、身分証明書のためのページが含まれます。
このプラットフォームは、偽の銀行セキュリティ警告を表示して、被害者に悪意のあるAndroidアプリケーションをインストールさせることもできます。
銀行保護アプリを装って配布されるこのAndroidマルウェアは、リモートアクセス型トロイの木馬(RAT)フレームワーク「Spyroid」をベースにしています。パッケージ名にはsacred.explosionを使用し、196.251.84[.]11:7771にあるコマンド&コントロール(C2)サーバーに接続します。
インストールされると、このRATは攻撃者のインフラとの持続的な接続を維持できます。これにより攻撃者は、キーストローク、スクリーンショット、SMSメッセージ、銀行取引の内容、その他の機微な情報を取得できる可能性があります。
このマルウェアの設定情報はBase64でエンコードされており、静的解析を困難にしています。Balonxはさらに、ドメインの高速なローテーションも行っています。
フィッシングドメインがブロックされたり通報されたりした場合、運営者は一元化されたPostgreSQLバックエンドを通じて、アフィリエイトアカウント、被害者データ、稼働中のセッションを維持したまま新しいドメインに切り替えることができます。
研究者らは、350を超えるドメインをBalonxおよび関連する「Aclaraciones Bancarias」キャンペーンに関連付けています。Balonxにはさらに、「CallFlow」と呼ばれる別のモジュールがあり、人工知能を用いてボイスフィッシング(ビッシング)を自動化しています。
このサービスは会話にGPT-4o-miniを、音声生成にElevenLabsおよびOpenAIの音声を、リアルタイムの音声文字起こしにWhisperをそれぞれ使用しています。
通話中、被害者には「Carolina」という名前の合成音声による銀行担当者の声が聞こえることがあります。被害者の応答は文字に起こされ、言語モデルによって処理され、自動的に返答が生成されます。
これにより、人間のコールセンターオペレーターを必要とせずに済み、詐欺グループは複数のキャンペーンを同時に運用できるようになるとGroup-IBは述べています。
注記: 誤って名前解決やハイパーリンク化されるのを防ぐため、IPアドレスおよびドメインは意図的に無害化表記(defang、例: [.])にしています。再度有効な表記に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理されたスレットインテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/balonx-targets-mexican-banks-2/
