Group-IB выявила крупнейшие сети фейкшопов. Часть 1 / Хабр
В этом посте мы впервые исследуем такой пласт андеграунда, как фейковые маркетплейсы по торговле данными банковских карт. Кардинг — это преступление. Торговля данными банковских карт — это преступление. Создание фейковых магазинов, копирующих «оригинальные» кардшопы — это также преступление. Мы считаем, что чем глубже изучается индустрия андеграунда, тем больше возможностей для слежения, изучения и борьбы с киберпреступностью.
Именно поэтому мы впервые публикуем исследование фишинговых ресурсов, копирующих кардшопы. В данном случае под кардшопами мы будем понимать «оригинальные» ресурсы по торговле дампами и текстовыми данными банковских карт. Под «фейкшопами» — фишинговые ресурсы, копирующие кардшопы. Под пользователями — покупателей краденных данных банковских карт.
Как вы вероятно уже поняли в этом исследовании нет «простых пользователей», ставших «жертвами» мошенников. Оно описывает явление «каннибализма» в андеграундной среде, когда одни злоумышленники наживаются на других.
Каждый пользователь интернета регулярно сталкивается с фишинговыми сайтами. И киберпреступники — не исключение. Аналитикам Group-IB Threat Intelligence удалось выявить несколько крупных групп мошенников, которые зарабатывают деньги на начинающих неопытных кардерах, создавая и распространяя фишинговые сайты под кардшопы — подпольные магазины по продаже скомпрометированных платежных данных. Эти сайты аналитики Group-IB называют фейкшопами.
Большое количество фейкшопов в сети вызывают проблемы не только у пользователей андеграундных форумов — киберпреступников, но и могут создавать сложности специалистам по киберразведке. Размещенные на них поддельные данные могут привести к появлению ложной статистики при мониторинге и описании кардшопов, а скопированные дизайны оригинальных ресурсов могу ввести в заблуждение даже опытного антифрод аналитика.
Как правило, фейкшопы не создаются по одному. Для охвата большего количества пользователей (покупателей украденных данных банковских карт) создатели фейкшопов проводят рекламу на андеграундных форумах, чатах Telegram и обманом заставляют переходить пользователей по своим ссылкам, заставляя создателей оригинальных ресурсов, как не комично бы это звучало, нести репутационные потери, а также объединяют свои сайты в гигантские сети.
Аналитики Group-IB Threat Intelligence обнаружили три крупнейшие сети фейкшопов, которые получили названия UniFake, JokerMantey, и SPAGETTI. Последняя — самая крупная из обнаруженных сетей — насчитывает более 3000 доменных имен, многие из которых являются копиями самых популярных кардерских сайтов в андеграунде, таких как: Joker’s Stash, BriansClub, Uniсс, Ferum shop, ValidCC и других.
Создателям этой сети за все время работы удалось получить не менее 9200 входящих транзакций на различные крипто кошельки, на общую сумму более $1,200,000 (большая часть которых была получена в Bitcoin – 23 BTC по курсу на 12 октября 2021).
В отличии от других сетей SPAGETTI также распространяет через свои сайты вредоносное ПО. Создатели этой сети разместили на своих сайта стилер Taurus Project в виде скачиваемого файла, собирая таким образом данные пользователя из браузера, логины и пароли от банковских приложений, и даже крипто кошельков.
Специалисты Group-IB изучили как создаются и поддерживаются фейкшоп-сети.
В первой части этого материала Руслан Чебесов, руководитель группы исследования андеграундных маркетов Group-IB, и Сергей Кокурин, аналитик андеграундных маркетов Group-IB, рассказывают, как аналитикам отличить оригинальный кардшоп от фейкового и как провести правильную атрибуцию фейкового ресурса. А в следующем посте, используя систему Threat Intelligence & Attribution, они для примера проведут анализ самых крупных сетей фейкшопов. Часть 2 тут.
Что такое фейкшопы?
В андеграундной сфере интернета существуют ресурсы для торговли скомпрометированной информацией, такой как данные кредитных или дебетовых карт, доступов к аккаунтам пользователей, доступов к компьютерам через порты RDP или SSH, паспортные или идентификационные данные граждан разных стран, доступов к серверам и панелям управления сайтов и т.д.
Эти ресурсы называются «андеграундные маркеты».
Основная особенность таких маркетов — большое количество продавцов на ресурсе.
Сами площадки являются аналогами Amazon или Ebay только на теневой стороне интернета.
Кардшопы — это частные случаи маркетов. Здесь продаются похищенные данные банковских карт в виде текстовых данных с самой карты, либо в виде дампов — сохраненной копии информации с магнитной полосы. Обычно других видов продаваемых скомпроментированных данных на кардшопах не встречается.
Раздел поиска по картам кардшопа BestvalidКардшопы и маркеты – основные ресурсы для мелких мошенников, занимающихся кардингом, скамом, спамом и другими подобными видами киберпреступлений.
Кардинг — мошенничество с банковской картой — является одной из самых простых форм мошенничества, не требующей от преступника дополнительной подготовки, кроме базовых навыков работы с компьютером. Низкий порог входа в эту «индустрию» создает высокий спрос на услуги кардшопов и маркетов.
Собственно, высокий спрос и низкий уровни грамотности начинающих кардеров создает идеальные условия для мошенников, зарабатывающих на создании фейкшопов — сайтов, которые выдают себя за работающие кардшопы или андерграундные маркеты.
Самая главная задача – создать иллюзию настоящего ресурса, для того чтобы попавший на сайт пользователь захотел оставить на нём свои деньги. Дополнительно для этого могут использоваться названия существующих андеграундных ресурсов или даже полностью копироваться дизайн их страниц.
В случае с настоящими кардшопами и маркетами, пользователю сначала необходимо внести деньги на свой аккаунт, чтобы потом использовать эти средства для покупки скомпрометированных данных. Распространенной практикой среди кардшопов также является платная активация аккаунта, для этого после регистрации пользователю необходимо заплатить от $20 до $200. Фейкшопы пользуются этими устоявшимися системами предварительной оплаты услуг, чтобы вводить в заблуждение кардеров.
Пример активации аккаунта на маркете AmigosВсе фейкшопы можно разделить на три вида:
Создает видимость нового кардшопа или маркета. Это самый простой способ обмана. В этом случае злоумышленник создает ресурс, который элементами дизайна на сайте создаёт впечатление кардшопа или маркета: списки баз с товаром, корзина, новости и обновления, система поддержки и т.
Скриншот фейкшопа cvvunion
д. Также для самого названия и доменного имени используются устоявшиеся слова и сокращения: «cc», «dump», «cvv», «shop», «carding», «pin», «swipe», «sniff», «money» и другие.Создание фишингового ресурса, имитирующего оригинальный кардшоп. Для этого злоумышленники создают сайты с доменным именем, напоминающим оригинал, изменяют расположение букв или слов в названии, добавляют сокращения, делают специальные ошибки или добавляют что-то из фраз из пункта выше. Для дальнейшего введения в заблуждение злоумышленники могут скопировать дизайн оригинального сайта: html код, css стили и картинки. Это несложная задача, однако она увеличивает доверие жертвы к правдоподобности такого ресурса для неопытного пользователя.
Скриншот главной страницы фейкшопа Unicc, полностью копирующий оригинал«Захват» доменного имени настоящего кардшопа или маркета. Это один из самых сложных для реализации вариантов создания фейкшопа.
Для этого злоумышленниками необходимо выкупить доменное имя, когда-то принадлежавшее кардшопу или маркету. Это вполне реально, если владельцы сайта не успели оплатить аренду доменного имени регистратору, либо их доменный адрес был разделегирован по какой-либо причине. В таком случае на фейкшоп попадают пользователи, ранее уже посещавшие ресурс по этой ссылке.Такими примерами являются захват доменов unicc[.]cm и briansclub[.]ru. Как мы видим, заподозрив обман, возмущенные пользователи присылают сообщения администрации оригинальных кардшопов. Зачастую админам приходится дополнительно информировать своих пользователей о смене доменного имени.
Сообщение на форуме altenens[.]org. Источник: Group-IB Threat Intelligence & AttributionКак следует из сообщения администратора BriansClub, показанного на скриншоте ниже, домен briansclub[.]ru ранее принадлежал его кардшопу. Однако в данный момент там размещен фейкшоп
Сообщение на форуме omerta. Источник: Group-IB Threat Intelligence & Attribution
д. Также для самого названия и доменного имени используются устоявшиеся слова и сокращения: «cc», «dump», «cvv», «shop», «carding», «pin», «swipe», «sniff», «money» и другие.
Для этого злоумышленниками необходимо выкупить доменное имя, когда-то принадлежавшее кардшопу или маркету. Это вполне реально, если владельцы сайта не успели оплатить аренду доменного имени регистратору, либо их доменный адрес был разделегирован по какой-либо причине. В таком случае на фейкшоп попадают пользователи, ранее уже посещавшие ресурс по этой ссылке.На андеграундных форумах можно часто заметить темы и сообщения со списком фейкшопов.
Так посетители форумов пытаются бороться с рекламой фишинговых ресурсов.
Нередко можно встретить сообщения от обманутых кардеров на разных форумах, как на скриншоте ниже, где пользователь внес деньги на счёт в маркете, но так и не дождался возможности приобрести желаемые «услуги».
Скриншот с форума carder[.]ukА некоторые владельцы ресурсов, стремясь избежать потери аудитории и репутации, даже указывают список фейкшопов, маскирующихся под них, на своём ресурсе.
Скриншот страницы авторизации маркета ValccВыявить настоящий это ресурс или фейковый зачастую не просто. Так же как и создатели обычных фишинговых веб-страниц, владельцы фейкшопов стараются как можно точнее копировать оригинал. Сравним страницу авторизации реального Ferum-shop и его фейка:
Визуально отличия почти не заметны, например, рекламные баннеры скопированы полностью. Однако, можно обратить внимание на разные системы капчи на оригинале и фейке (выделены красным).
Также неправильно перенесены дизайны панелей (выделено зеленым) и кнопок (выделено синим).
Такие различия могут легко ввести в заблуждение неопытного пользователя, особенно, когда создатели фейкшопа Ferum-Shop активно рекламируют на форумах срочную «смену» доменного имени маркета.
Сообщение на форуме sky-fraud[.]ru. Источник: Group-IB Threat Intelligence & AttributionПродолжение здесь.
Дисклеймер
Целью настоящего исследования является предоставление сведений о способах совершения противоправных деяний для привлечения внимания государственных регуляторов, соответствующих уполномоченных органов, а также для минимизации риска дальнейшего совершения таких противоправных деяний, их своевременного пресечения и формирования у пользователей должного уровня правосознания.
Выводы, содержащиеся в настоящем исследовании, сделаны в результате анализа специалистами Group-IB информации, полученной из открытых источников, а также ни в какой ее части не являются официальной позицией компетентных органов, в том числе правоохранительных любой юрисдикции.
Сведения, ставшие публично известными до выпуска настоящего исследования, указаны в первоначальном неизреченном виде. Исследование не содержит прямых обвинений в совершении преступлений и иных противоправных действий и носит аналитический характер.Настоящее исследование подготовлено в информационных и ознакомительных целях и не может использоваться читателем в коммерческих и иных, не связанных с образованием или личным некоммерческим использованием целях.
Исследование является объектом авторского права и охраняется нормами права в области интеллектуальной собственности.
Сведения, ставшие публично известными до выпуска настоящего исследования, указаны в первоначальном неизреченном виде. Исследование не содержит прямых обвинений в совершении преступлений и иных противоправных действий и носит аналитический характер.кардер рассказывает об интернет-мошенничестве. «Бумага»
15 октября 2012
Кто и как ворует деньги с банковских карт и как обезопасить себя в интернете? «Бумага» поговорила с бывшим кардером — человеком, который занимался интернет-мошенничеством с банковскими картами.
No Nameбывший кардерВ прошлом использовал данные чужих банковских карт в интернете, занимался мошенничеством в сети |
Он идёт в сомнительный магазин по продаже духов, покупает их, они благополучно приехали — и вроде бы всё хорошо. Но магазин может оказаться не очень безопасным и сохранить все данные карты. Дальше есть два пути. Либо сайт взломают и получат доступ к базе данных карт, либо её продадут или сольют сами работники магазина.
Среднестатистическая цена на кредитную карту колеблется: для американских карт — от 1 до 2 долларов, для европейцев — от 2 до 5, если какие-то редкие страны — от 5 до 10
Цена растёт в зависимости от того, какие данные ты получаешь. Чем больше информации о пользователе, тем сильнее можно эксплуатировать чужую карту. Обычно у злоумышленника есть специальные электронные системы: виртуальные машины или арендованные серверы в других странах. То есть, если карта принадлежит американцу, используются американские серверы, чтобы симулировать, что человек что-то покупает в Штатах.Банковские карты, как правило, используются для мелкого мошенничества: от 10 до 200 долларов
Имея данные карты, в интернете можно оплачивать счета, пополнять телефон и покупать практически всё.
Банковские карты, как правило, используются для мелкого мошенничества: от 10 до 200 долларов, но иногда «скупают» с одной карты больше чем на 1000 долларов.
Самый опасный и прибыльный тип кардинга — тот, что работает с реальными картами
Чтобы совершать больше покупок и обналичивать деньги, создаются группировки так называемых «дропов»: это люди, которые неосознанно участвуют в мошенничестве. Их находят на зарубежных сайтах по поиску работы или через спам и рекламу в интернете. Им говорят что-нибудь вроде: «Мы представители компании из Зимбабве и хотим открыть филиал в вашем городе — для бедных детей будут приходить телефоны и ноутбуки».Ноутбук, который стоит 1000 долларов, обойдётся кардеру в 300-400 долларов, а продаст он его по рыночной цене
По условиям дропы могут оставить себе один ноутбук, а все остальные они должны отправлять, куда им скажут. На их адреса заказывают технику и другие товары с краденых кредитных карт.
Кто и как ворует деньги?
Для работы с банковскими аккаунтами используют вредоносные программы. Существуют трояны двух видов: грабберы и формграбберы. Трояны-грабберы просто крадут все сохраненные пароли. Постепенно система безопасности начала эволюционировать: появились секретные вопросы, нужно было вводить дополнительные данные — получить доступ к аккаунтам стало довольно сложно. Но умные люди придумали феноменальную вещь — формграбберы: вирус крадет не только то, что сохранено, но и то, что ты вводишь.
Формграбберы крадут не только то, что сохранено, но и то, что ты вводишь
Ещё проще стало, когда появилась возможность заставлять пользователя вводить то, что нужно. Допустим, у тебя есть банковский аккаунт с онлайн-доступом. Два раза в неделю ты туда заходишь, чтобы пополнить телефон или заплатить за квартиру. Это не очень большие платежи, которые не опустошают твой счёт. В некоторых банках (в основном в Европе) действует система безопасности TANITAN. При выпуске карты и регистрации в онлайн-банкинге клиент получает лист, на котором от десяти до сотни паролей. В каждом из них — от 4 до 8 символов. Всякий раз, когда он заходит в банк или проводит любую финансовую операцию, система просит ввести, например, 53-й пароль или первый (четвертый, пятый, седьмой) символ 22-го пароля. Первое время система работала очень хорошо: банки просто кипятком писали от того, что никто не может ничего украсть.Политика банков такова, что они не ищут преступника, если списания составляют до 5000 долларов с одного счета.
Им дешевле возместить потерю, чем искать, кто украл деньги
Как это работает?
Когда появился поп-ап, настоящая страница с банковским аккаунтом уже загрузилась. По сути, клиента везде уже пустили, но из-за вредоносного кода страничка показывает, что он не вошёл. На самом деле уже сгенерирован перевод, уже подставлены нужные имена и вирус ждёт только подтверждения кода. Пользователь его вводит, и осуществляется перевод. На экране что-то крутится, якобы грузится страница. За это время обычными математическими формулами система высчитывает, сколько человек тратит в неделю и сколько ему желательно оставить, чтобы в ближайшие два-три дня он не заметил кражи и можно было спокойно всё обналичить.
Когда клиент возвращается, таким же способом изменения страницы из списков транзакций удаляются переводы, а баланс выглядит нетронутым.
Кардеров ловят из-за жадности, неосторожности и глупости или человеческого фактора. Главная причина — жадность. Чем больше ты хочешь украсть, тем лучше тебя будут искать. Политика банков такова, что они не ищут преступника, если списания составляют до 5000 долларов с одного счета. Им дешевле возместить потерю, чем искать, кто украл деньги.
Не заходите на сомнительные сайты и верьте предупреждениям Google Chrome и FireFox
Самый опасный и прибыльный тип кардинга — тот, что использует не виртуальные данные, а работает с реальными картами. Например, у посетителя в кафе берут карту и несут платить. Во-первых, злоумышленникам ничего не мешает переписать данные и заплатить в интернете. Во-вторых, им ничего не мешает использовать скиммер — устройство, которое сохраняет данные с магнитных лент. Его ставят на банкомат или собирают ручные модели.
Преступники покупают чистые карты и специальный аппарат, который программирует и записывает новые карты. К слову, в обналичивании с кредитных карт все дропы осознанные, они знают, что делают.
Как себя обезопасить?
Не ставить сомнительное программное обеспечение, пользоваться лицензионным софтом. Не заходить на сомнительные сайты и верить предупреждениям Google Chrome и FireFox. Предупреждения говорят о том, что у странички есть фрейм (то есть дополнительная страница) с вредоносным содержимым и можно заразиться вирусом. В среднем из всех посетителей заражаются от 5 до 30 %. Завести отдельную карту для оплаты в интернете и пополнять её по мере необходимости. Не расплачиваться банковской картой в сомнительных заведениях. Стараться не выпускать свою карту из поля зрения.Читайте также:
- Дельные люди: бармен рассказывает о культуре пития
- «Смотрите внимательно, главное: не переключайтесь». Анонимное интервью сотрудницы НТВ
- Фотоснимки и рассказ руферов, забравшихся на крышу ФСБ
К сожалению, мы не поддерживаем Internet Explorer.
Классический кардочесальный станок JUMBO WIDE Настраиваемый
Кардочесальный станок Jumbo Wide Classic — самый большой кардочесальный станок в нашем ассортименте, он позволяет производить войлок весом до 150 г (5,3 унции) при использовании финишной щетки и вторичной щетки.
Размеры:
Длина: 58,5 см / 23 дюйма
Ширина: 50,5 см / 20 дюймов со сложенной ручкой для хранения — 55,5 см / 22 дюйма со сложенной ручкой для использования
Высота: 31,5 см / 12,25 дюйма
Jumbo Wide Classic Кардер изготавливается вручную в Великобритании из массива ясеня. Мы используем только качественную древесину из экологически чистых источников.
Древесина является натуральным продуктом и может различаться по цвету и текстуре.
Все классические кардочесальные машины используют разницу между скоростями барабана (отношением) к кардочесальной машине, что позволяет аккуратно отделять волокно по штифтам накопительного барабана, а поскольку они не зацепляются, они не оказывают жесткого воздействия на деликатные волокна.
Это означает, что трение очень мало, и ручка поворачивается очень легко. У больших кардочесальных машин больше импульса, поэтому их так же легко поворачивать, как и стандартные кардочесальные машины.
Имеется достаточно места для поворота ручки, поэтому вы можете использовать ее подальше от края стола. Поверхностные зажимы и съемник включены. Ряд опциональных дополнительных инструментов доступен отдельно
Гарантия 2 года.
Благодаря системе сменных барабанов эти кардочесальные машины красиво изготовлены и спроектированы с учетом требований пользователя и могут быть адаптированы к вашим собственным требованиям. Мы всегда рады обсудить ваши вопросы по кардингу.
Складная ручка облегчает транспортировку и хранение. Все кардеры настроены и готовы к использованию. Тем не менее, они полностью регулируются, если это необходимо.
Классические кардочесальные машины в стандартной комплектации имеют правую рукоятку, мы обнаружили, что и правшам, и левшам это удобно и просто в использовании.
Если у вас есть проблемы со здоровьем или подвижностью, из-за которых вы не можете поворачивать ручку правой рукой, мы будем рады изготовить для вас машину с левой рукояткой, пожалуйста, свяжитесь с нами до размещения заказа.
Ткань, которую мы используем, представляет собой прорезиненную четырехслойную хлопчатобумажную основу высочайшего качества. Мы используем бледно-голубую ткань, это предпочтительный вариант для смешивания цветов волокон, так как это нейтральный фон. Мы всегда используем длинную игольчатую ткань для Wide Jumbo, это позволяет получить больше волокна на барабане и хорошо подходит для изготовления художественных войлоков.
Доступны различные сорта ткани для чесания различных волокон:
72 tpi (зубцов на дюйм) для обычного чесания, дающего наилучшие результаты на средних волокнах. Это также подходит для периодического использования грубого или тонкого волокна с изменением техники кардочесания (подробности на веб-сайте Classic Carder).
120 tpi имеет более близкие штифты и дает наилучшие результаты для тонких волокон, таких как альпака, ангора и мохер.
Почтовые расходы во многие места включены в стоимость каждого кардера.
Возможно, вам придется платить налог на импорт там, где вы живете. Пожалуйста, уточните это в местных органах власти.
Покупатели в Великобритании и Европе должны платить налог (НДС) на своего кардера, НДС включен в цену. Стоимость почтовых отправлений в Великобритании также включена, почтовые расходы в Европу стоят немного больше, поэтому взимается дополнительная плата. Я не зарабатываю на почте.
Покупатели в РОССИИ: Могут возникнуть проблемы с выкладкой больших кардеров, или включением дополнительных барабанов — свяжитесь с нами перед совершением покупки.
Стандартный кардочесальный станок Louet — Fine 46 TPI — Paradise Fibers
Стандартный кардочесальный станок Louet — Fine 46 TPI — Paradise Fibers перейти к содержанию Левый Продолжить покупкиВ вашей корзине нет товаров
Луэ / Кардер для барабанов
Артикул: KP0101
751,00 $
5,0 / 5,0
1 отзыв Название по умолчанию Добавить в список желаний Стандартный кардочесальный станок — Fine 46 TPI
находится в резерве и будет отправлен, как только он снова появится на складе.
Кардер Louet Classic Drum уже более 20 лет является стандартом в Louet. Диаметр барабана 10 дюймов, ширина 7 дюймов. По сравнению с новым кардочесальным станком Standard Drum зубья ткани меньше и выше (46 зубьев на квадратный дюйм, длина 5/8 дюйма), а зубья спроектированы так, чтобы переплетаться друг с другом. Это делает кардочесальный станок Classic Drum более подходящим для средних и длинных волокон. это идеальный чесальный станок, если вам нужно быстро прочесывать большое количество толстых войлоков.Он отлично подходит для чесания слоев для изготовления войлока, а также может быть успешно выполнено смешивание цветов.Кардер крепится к столу и поставляется уже постоянно настроенным для вас
Технические характеристики:
— барабан составляет 7 дюймов (19 см) шириной и 10 «(25 см) в диаметре
— Соотношение скорости поверхности составляет 9: 1
— зубы на 46 зубьев/кв.
дюйм
— Зубья глубиной 5/8 дюйма (14 мм)
— Кардочесальная масса приблизительно 1 унция (45 грамм) на пакет
— Вес 16 фунтов (7 кг)
— Чесальные зубья гибкие
— предварительная затяжка не требуется
— зажимы для стола, съемная щетка и съемный штифт в комплекте
*Обратите внимание: из-за ограниченного количества этот товар может занять до 4 недель.
Руководство по эксплуатации, написанное известным автором и художником по волокну Деб Менц, входит в комплект всех драмкардеров.
Драмкардеры Louet изготовлены из ламинированной березы и имеют твердое белое покрытие. Для обеспечения длительного срока службы зубья всех кардочесальных машин Louet изготовлены из высококачественной стальной проволоки с покрытием. Все редукторы (кроме Elite) закрыты, чтобы предотвратить попадание волокон в систему редуктора.
Для барабанных чесальных машин обычно упоминается передаточное число, которое приводит в движение лизун, когда вы вращаете большой барабан. Тем не менее, что действительно имеет значение для чесания, так это отношение скорости поверхности обоих барабанов, потому что разница скоростей поверхности влияет на чесание. Вы получаете это передаточное число поверхностной скорости, умножая передаточное отношение на отношение диаметров большого барабана и лизунца.
ОБРАТИТЕ ВНИМАНИЕ:
Первым ответом на ваш заказ будет его отправка прямо с нашего склада. В случае, если наш уровень запасов слишком низок, ваш заказ может быть либо , заказанный на нашем складе или , доставлен непосредственно вам из Луэ в Канаде. Пожалуйста, дайте 3-5 рабочих дней для их обработки и отправки вашего заказа до получения электронного письма с вашим номером отслеживания. Если ваш заказ был задержан у нашего поставщика, один из наших представителей по обслуживанию клиентов свяжется с вами и сообщит о задержках и доставке.