背景

最近、Slow FogチームとRabby Walletチームは、Google広告を利用したフィッシング攻撃を発見しました。その後、Slow FogセキュリティチームとRabby Walletチームは、この攻撃の詳細な分析を行いました。

Rabbyウォレットチームによると、チームはGoogle広告を購入していなかったが、偽の広告は本物のウェブサイトに行っていた。

Googleのキーワード検索から、最初の2つの検索結果はフィッシング広告です。しかし、最初の広告リンクは非常に珍しく、ラビィウォレットの公式ウェブサイトのアドレスが表示されています。https://rabby.io、フィッシンググループはなぜこのようなことをしたいのでしょうか？フィッシンググループはなぜこのようなことをするのでしょうか？

フィッシング広告を追跡すると、本物の公式アドレスhttps://img.jinse.cn/7186769_image3.png、フィッシング広告がラビィウォレットの公式アドレスに行くこともあることがわかりました。本物の公式アドレスhttps://rabby.io、何度かプロキシを別の地域に変更した後、フィッシングアドレスhttp://rebby.io、このフィッシングアドレスは更新され変更される。この記事を書いている時点では、リンクはフィッシングアドレスhttps://robby.page[.]に飛ぶ。link/Zi7X/?url=https://rabby.io?gad_source=1.

技術的分析

まず、302とは何かから説明しましょう。302とは何かから説明しましょう。302とは、Temporary Redirect (Found) を意味するHTTPステータスコードです。サーバはクライアントからリクエストを受け取ると、リクエストされたリソースを一時的に別の場所に移動する必要がある場合、302ステータスコードを返すと同時に、レスポンスヘッダにLocationフィールドを含め、クライアントがリダイレクトされるべき新しい場所を示します。このリダイレクトは一時的なものです。

分析の結果、フィッシング広告へのリンクは複数の302ホップを経由していることがわかりました。次の図に示すように、curlコマンドを使って最初にリンクがリクエストされたときは、フィッシングアドレスhttps://rabby.iopost.ivsquarestudio.comに飛びますが、2回目の302ホップでは2つのケースがあります:

1.フィッシング広告が1回目の302ホップを通過するとき、次のようになります。

2.しかし、curlコマンドを使って、通常のブラウザが上記のLocationアドレスをリクエストするのをシミュレートすると、次のようになります。https://rabby.iopost.ivsquarestudio.com（User-Agent、Accept、Referer、Accept-Encodingなどを含むリクエストヘッダ付き）、https:// の新しいLocationに302します。dnovomedia.com?uid=087aa42d-724b-4a1e-bae7-f1f700ce71e6.

このように、フィッシングリンクは2回目の302ジャンプで判定を行い、正常でないブラウザからのリクエストを検知すると公式アドレスにリダイレクトし、正常なブラウザからのリクエストを検知し、リージョンが妥当な場合はフィッシングアドレスにリダイレクトします。

私たちは最後のフィッシングジャンプをhttps://rabbyo.com/index.php?uid=087aa42d-724b-4a1e-bae7-f1f700ce71e6.

まで追跡しました。

フィッシングリンクを開いてみると、このフィッシングページは本物の公式サイトのコンテンツのほとんどをクローンしていることがわかりました：

このフィッシングページは本物の公式サイトのページのクローンです：

このフィッシングページは本物の公式サイトのページのクローンです。ほとんどのコンテンツ:

302ジャンプを追跡することによって。

https://robby.page.link/Zi7X

https://rabby.iopost.ivsquarestudio.com

https://dnovomedia.com?uid=087aa42d-724b-4a1e-bae7-f1f700ce71e6

https://dnovomedia.com?uid=087aa42d-724b-4a1e-bae7-f1f700ce71e6.align: left;">https://rabbyo.com

https://rebby.io

Threat Intelligence Platformにrebby.ioとrabbyo.comのフィッシング詐欺について問い合わせる。

2024年1月に登録されたことがわかりました。

脅威インテリジェンス・プラットフォーム。

トロイの木馬の分析

コードをチェックしてみると、攻撃者は次のようなロシア語を使っていました。

フィッシング展開のバックエンドプログラムは、Fastpanel(Fastpanel)を使用しています。Fastpanel (Fastpanelはロシア語圏のホストによって開発されたウェブホスティング管理パネルです):