Хакер #305. Многошаговые SQL-инъекции
Независимый ИБ-эксперт Уэсли Нилен (Wesley Neelen) обнаружил интересную фишинговую кампанию, которая за считанные часы принесла своим операторам более 15 000 долларов.
Все началось с того, что Нилен получил фишинговое письмо, якобы от администрации реально существующего сервиса Myetherwallet.com. В послании, которое можно увидеть ниже, говорилось, что ресурс готовится к грядущему хардфорку, в связи с чем пользователей просят перейти по приведенной в письме ссылке, разблокировать аккаунт и проверить баланс.
Ссылка из письма вела на сайт, который внешне полностью копировал настоящий Myetherwallet. Более того, злоумышленники использовали юникод, и если присмотреться внимательно, на приведенном ниже скриншоте можно заметить, что буква «T» в адресе сайта имеет странную точку снизу. Использование спецсимволов позволило атакующим зарегистрировать домен максимально похожий на настоящий Myetherwallet.com.
Если жертва попадалась на удочку мошенников и вводила свои учетные данные на этом фальшивом сайте, преступники немедленно использовали эту информацию для входа в настоящий кошелек пострадавшего и выводили все денежные средства.
Хотя сам Нилен сразу заметил подмену, эксперт решил изучить вредоносный сайт повнимательнее, и быстро обнаружил, что некоторым пользователям повезло гораздо меньше, чем ему. Подключив к расследованию своего коллегу, Нилен обнаружил на сайте лог, в котором были собраны данные всех кошельков, пострадавших от рук мошенников. Как выяснилось, только на одном из обворованных кошельков хранилось 42,5 ETH, то есть порядка 12 500 долларов. Другие кошельки содержали более скромные суммы, но в итоге суммарный «заработок» преступников все равно составил 52,56 ETH ($15 875) всего за два часа.
В конце своего отчета специалист с грустью отмечает, что ресурс мошенников находится на так называемом "пуленепробиваемом" хостинге, так что вряд ли можно ожидать, что кто-то прислушается к жалобам, и сайт вскоре уйдет в оффлайн.
Фото: Dearbytes
