Основной инструмент, предлагаемый на платформе, — бот для сбора конфиденциальных сведений, например, данных карт или второго фактора аутентификации, с помощью автоматизированных вишинговых атак. Бот предоставляет возможность генерации голоса при помощи искусственного интеллекта и автоматической обработки конфиденциальной информации, полученной от жертвы в ходе автоматизированной атаки.

Бот доступен на сайте или в Telegram. Основной канал платформы в мессенджере на момент исследования насчитывает порядка 10 тыс. подписчиков. Общее количество каналов, связанных с платформой, составляет 12 различных ресурсов, часто дублирующих информацию из основного канала-источника. Названия Telegram-каналов связаны с различными разделами платформы.

Бот для проведения вишинг-атак

Подготовка и проведение вишинг-атаки через платформу и настройки звонка состоят из трёх этапов.

1.  Информация о звонке. Пользователь платформы выбирает голос и язык, указывает номер телефона получателя, выбирает режим звонка, вводит имя жертвы и, по желанию, добавляет последние четыре цифры номера карты жертвы.

Платформа предоставляет выбор из более чем 20 женских и мужских ИИ-голосов с разными акцентами и языками. В системе реализованы естественные интонации, паузы и минимальная задержка реакций, а также доступен выбор вариантов фонового шума для максимальной реалистичности.

Пользователю доступны стандартные сценарии вишингового взаимодействия, сгруппированные по тематике:

• банки;

• NFC;

• платёжные сервисы и шлюзы;

• брокеры и инвестиционные сервисы;

• торговые площадки;

• операторы связи;

• почтовые сервисы;

• криптобиржи;

• аппаратные криптокошельки;

• соцсети и облачные сервисы.

Можно также разработать собственный сценарий атаки и реализовать его на платформе.

Языки, поддерживаемые ботом:

• английский;

• испанский;

• французский;

• немецкий;

• итальянский;

• португальский;

• русский;

• китайский;

• хинди;

• арабский;

• шведский;

• голландский.

2.  Настройки звонка. На этом этапе пользователь верифицирует режим отработки скрипта бота при взаимодействии с жертвой. В режиме «Нормальный» жертве предлагается нажать клавишу на клавиатуре, прежде чем бот продолжит работу. В режиме «Без действий» скрипт верификации выполняется автоматически. В режиме «Отключено» проверка полностью пропускается.

Затем пользователь может выбрать три варианта дополнительных опций:

• Спуфинг (подмена номера, отображаемого на стороне получателя вызова).

• Трансляция звонка, позволяющая прослушивать разговор в режиме реального времени.

• Распознавание голосовой почты для сброса звонка.

3.  Подтверждение звонка. Перед созданием вызова отображаются все выбранные настройки. Пользователь проверяет их и нажимает кнопку «Создать вызов».

После ответа жертвы на звонок пользователь платформы наблюдает за ходом разговора в режиме реального времени. В верхней части экрана отображается состояние звонка. На рисунке 5 представлена панель управления звонком. Доступные сценарии позволяют манипулировать собеседником для получения конфиденциальной информации. В перечень собираемых данных входят четырёхзначные и шестизначные OTP-коды, подтверждения из приложений 2FA, дата рождения и полные реквизиты карты (номер, срок действия, CVV, PIN-код). В правой части экрана располагается панель с перехваченными данными. Ниже — журнал активности, где фиксируется каждое событие.

Подписки

Доступ к платформе может быть получен только при помощи криптовалюты через сайт платформы или через Telegram-бот. Оплата принимается на криптокошельки следующих валют: Bitcoin, Monero, Ethereum или Litecoin. Подписку требуется оплачивать единой транзакцией с одного адреса: на сайте существует автоматизированная система обработки платежей, которая на каждую транзакцию создаёт одноразовый криптокошелёк.

Тарифный план бота можно кастомизировать под свои задачи, выбирая опции из списка:

• License — обязательная опция, предоставляющая доступ к боту. Обновления в неё не входят.

• Spoofing — подмена номера, отображаемого на стороне получателя вызова.

• International — звонки во все поддерживаемые страны.

• Extended time — увеличение максимально допустимой длительность одного звонка.

Платформа также позволяет приобрести готовые пакеты (бандлы) с перечисленными выше опциями. Подписка на бандл оформляется только на неделю или месяц, для индивидуального тарифа также существует возможность оформления подписки на день. Стоимость подписки начинается от 44$ в день и доходит до 2000$-2500$ для месячных тарифов в максимальной комплектации.

Опция трансляции звонка доступна только для бандлов. Она предоставляет возможность прослушивания разговора в режиме реального времени, без неё ответы, полученные от жертвы в ходе вишинговой атаки, парсятся ботом и передаются злоумышленнику в текстовом виде.

SIP

Звонки совершаются по SIP (протокол обмена сигналами IP-телефонии), оплата за них происходит отдельно с баланса аккаунта, расценки зависят от страны.

В разделе SIP можно пополнить баланс SIP-аккаунта. Всего доступно 13 стран, звёздочками отмечены наиболее популярные:

За день можно совершить не более 200 звонков. Также в разделе SIP можно указать номер (caller ID), который будет отображаться на стороне получателя звонка при включенном спуфинге. Среди списка стран есть Россия и код +7.

В разделе настроек SIP-аккаунта отображается порт, при пополнении баланса SIP-аккаунта также отображается IP сервера. Баланс SIP аккаунта можно пополнить только с помощью криптовалюты.

Поддерживаемые платформой страны для проведения атак:

Форум

На форуме представлены следующие разделы:

• Announcements — общие объявления от владельцев платформы.

• Feedback & Suggestions — отзывы и предложения.

• Support & Bugs — техподдержка c сообщениями о технических ошибках.

• Report Scammers —жалобы на скам.

• The Lounge — флуд.

• Leaks & Cracks — бесплатные данные из утечек.

На платформе предусмотрена система репутации, формируемая за счёт оценок других участников.  Также есть возможность оформления подписки с различным уровнем привилегий для участников форума. Её стоимость составляет от $10 до $50 и может включать следующие привилегии:

• возможность кастомизации чатов,

• доступ к VIP-разделу и VIP-чату,

• достижения (Award),

• расширение лимита на оценку других пользователей,

• повышение комиссии партнёрской программы,

• отсутствие рекламы,

• возможность закрытия и редактирования собственных тредов (threads),

• доступ к разделу «улучшенные продавцы» в торговой площадке,

• возможность выбора фонового изображения, GIF-аватара, цвета имени,

• доступ к новым функциям раньше других пользователей.

Маркетплейс

На маркетплейсе продаются логи банков, данные учётных записей и телефонные списки потенциальных целей.

В разделе маркетплейса выделены следующие подразделы, в которых продавцы и клиенты могут создавать посты со своими предложениями или запросами:

• Verified Sellers — подраздел, доступный верифицированным аккаунтам. Для прохождения процедуры верификации необходимо написать Telegram-аккаунту, предположительно, платно.

• Upgraded Sellers — подраздел, доступный для аккаунтов, купивших подписку Nova Member или Suprеme Member.

• Normal Sellers — подраздел, доступный для всех аккаунтов.

• Disputes — урегулирование споров по эскроу-транзакциям, доступен всем.

• Buyers — поиск определённого продукта, доступен всем.

Эскроу-сделки

Auto-Escrow — раздел предоставления эскроу-услуг, где в качестве независимого посредника выступает платформа, а пользователи — в качестве продавцов или покупателей.

На платформе существует реферальная программа: если пользователь делится ссылкой, то за каждый переход по ней и покупку он получает комиссию. Проценты зависят от уровня подписки участника форума. Заработанные средства можно вывести, начиная с 50$.

Предпосылки использования платформы в России

Россия пока не входит в список стран, поддерживаемых OTP-ботом, но русский язык уже доступен для генерации, а российский телефонный код +7 можно использовать при подключении спуфинга.

Есть риск, что разработчики SaaS-платформы добавят в неё возможность генерировать голоса на основе голосовых сообщений из украденных аккаунтов в мессенджерах, откуда также могут получать списки контактов и имена родственников потенциальных жертв. Это сделает схему «Родственник в беде» ещё более опасной, особенно если злоумышленники смогут воспроизводить голос ребёнка.

Всё это говорит о том, что телефонное мошенничество в России может стать ещё более активным. В связи с этим специалисты ПМ настоятельно рекомендуют всегда придерживаться следующих правил:

• Придумать кодовое слово для звонков родственников, близких и детей и просить назвать его при любом подозрительном звонке с незнакомого номера.

• Если звонят ресурсоснабжающие, социальные, медицинские и иные организации, перепроверять полученную информацию самостоятельным звонком на официальные номера телефонов указанных организаций.

• Никогда и ни при каких обстоятельствах не называть код из SMS.

• Включить двухфакторную или многофакторную аутентификацию везде, где это возможно.