JWR е фишинг платформа, създадена за измами в реално време. Тя превръща фалшива платежна или банкова страница в канал на живо, който позволява на киберпрестъпниците да наблюдават въвеждането на данните в момента на тяхното изписване.

Кампанията използва SMS съобщения, представящи се за неплатени такси за пътни такси, такси за доставка на пратки или известия от куриери.

Дадена връзка отваря убедителна страница за вход, където платформата събира данни за карти, идентификационни данни за акаунти, документи за самоличност и кодове за потвърждение.

Cisco Talos идентифицира JWR, докато изследователят по сигурността Андреа Фортуна отделно подчерта как фишингът може да превърне малка първоначална грешка в много по-голям компрометиран достъп. Данните могат да достигнат до оператора, преди жертвата да е натиснала бутона за изпращане.

В доклад, споделен с Cyber Security News (CSN), от Cisco Talos заявяват, че платформата вероятно има връзки с китайскоговорящата фишинг екосистема като услуга (phishing-as-a-service), известна като „The Outsider“.

Talos оценява тази връзка със средна степен на увереност въз основа на приликите в клиентските скриптове и функции.

Фишинг платформата JWR използва управление през WebSockets в реално време

JWR използва постоянна WebSocket връзка за непрекъснат обмен със сървър.

Нейният клиент шифрира трафика с AES-CTR, което помага за прикриването на обмена, докато атакуващият контролира всеки етап от измамната сесия в реално време.

Инструментът присвоява уникален идентификатор на сесията и стартира фонов процес (background worker), който поддържа връзката активна, докато жертвата се придвижва между страниците.

Това кара измамата да изглежда по-малко като генеричен формуляр и повече като насочван процес на плащане, отразявайки доклад за фишинг услуги в реално време.

Повече от 40 команди на оператора могат да преместят посетителя от екрана за вход към лична информация, данни за карти, SMS код, PIN код или подкани за одобрение от банково приложение.

Атакуващият може също така да покаже фалшиво съобщение за отказ и да поиска друга карта, извличайки допълнителна информация, без да разкрива измамата.

JWR улавя частични пароли, номера на карти и еднократни кодове в момента на тяхното въвеждане.

В края на сесията платформата изпраща данните на атакуващите и може да пренасочи жертвата към реалния сайт – детайл, който може да забави подозренията и да помогне на киберпрестъпниците да действат бързо в почти реално време.

Платформата включва шаблони, които имитират платежни, търговски и банкови услуги, и може да възстанови подробности за продуктите от пазарска количка.

Този реализъм е важен, тъй като жертвите виждат познати артикули, суми и брандиране, вместо очевидна фалшификация. Подобна многостъпкова измама беше документирана в анализ на кампания за кражба от банки.

Smishing примамките повишават риска за банковия сектор

Talos наблюдава доставяне на JWR чрез текстови съобщения, имитиращи органи за пътни такси и пощенски или куриерски услуги в Югоизточна Азия и Близкия изток.

Примамките създават спешност около малка неплатена такса или забавена пратка, залагайки на това, че забързаният получател първо ще кликне, а след това ще проверява. Кампанията е особено опасна, защото не спира до паролата.

Тя изисква пълна информация за платежна карта, PIN кодове, данни за вход, еднократни пароли, записи за самоличност, изображения на документи, бисквитки и информация за устройството. Това събиране на данни може да послужи за превземане на акаунти, измами с плащания и по-нататъшна злоупотреба с идентичността.

За организациите блокирането на известни фишинг сайтове е необходимо, но недостатъчно. Екипите за сигурност трябва да следят за необичайни връзки от браузъра, бързо придвижване през страниците за удостоверяване или заявки към непознати домейни.

Те трябва да се подготвят за алтернативни уеб заявки, когато постоянната връзка е блокирана, тъй като инструментите на киберпрестъпниците се адаптират все повече.

Потребителите не трябва да използват връзки в неочаквани съобщения за плащане на пътни такси, такси за доставка или проблеми с акаунта. Вместо това те трябва да отворят официалното приложение или сами да въведат познатия адрес на уебсайта.

Всеки, който е въвел данни, трябва да се свърже с банката си, да промени повторно използваните пароли и да прегледа последните транзакции.

Банките могат да намалят вредите чрез използване на известия за транзакции, проверки на риска при необичайни влизания и ясни предупреждения за активни измами. По-широката осведоменост е важна, тъй като измамите с фалшиви съобщения за пътни такси използват същите тактики за оказване на натиск, докато банковите примамки в GitHub Pages показват колко бързо престъпниците могат да сменят убедителна инфраструктура. JWR демонстрира, че фишинг страниците се превръщат в конзоли за измами на живо.

Жертва, която вижда познато лого, реалистична количка и искане за код, може да повярва, че плащането се проверява, докато в действителност атакуващият управлява всеки екран и събира данни за акаунта.