Исследователи из ИБ-компании IronNet обнаружили фишинговую платформу Robin Banks, которая предлагает фишинг как услугу. Фишинг-киты Robin Banks ориентированы на клиентов известных банков и онлайн-сервисов, включая Citibank, Bank of America, Capital One, Wells Fargo, PNC, US Bank, Lloyds Bank, австралийский Commonwealth Bank и Santander. Также есть шаблоны для кражи учетных записей Microsoft, Google, Netflix и T-Mobile.
Эксперты говорят, что Robin Banks появился в марте 2022 года и в настоящее время уже используется в масштабных кампаниях, которые стартовали в середине июня.
Стоимость «услуг» Robin Banks варьируется от 50 долларов в месяц за отдельные страницы и круглосуточную поддержку, до 200 долларов в месяц за неограниченный доступ ко всем шаблонам и круглосуточную поддержку. После регистрации и оплаты подписки злоумышленники получают доступ к личной панели инструментов, содержащей отчеты об операциях, инструменты для быстрого создания страниц, настройки управления кошельком, а также возможности для создания кастомных фишинговых сайтов.
Фишерам предлагаются такие опции, как добавление reCAPTCHA для защиты от ботов или проверка user agent, которая помогает отфильтровать определенных жертв в рамках узконаправленных кампаний. Кроме того, доступные мошенникам шаблоны постоянно обновляются и актуализируются, а также добавляют новые.
«Сайт Robin Banks имеет более сложный, но удобный для пользователя интерфейс, чем 16Shop и BulletProftLink — два известных фишинговых набора, которые также стоят заметно дороже, чем Robin Banks», — комментируют аналитики IronNet в отчете.
Свои атаки клиенты Robin Banks осуществляют посредством SMS и электронной почты. К примеру, в одной из кампаний, обнаруженных в прошлом месяце, оператор Robin Banks атаковал клиентов Citibank с помощью SMS-сообщений, предупреждая их о «необычном использовании» дебетовой карты.
Ссылка, которая прилагалась к таким сообщениям, якобы вела на станицу для снятия ограничений, но на самом деле жертва попадала на фишинговый ресурс, где ее просили ввести личные данные. При этом страница осуществляла фингерпринтинг жертвы, и загружала мобильную или десктопную версию фальшивки, в зависимости от того, каким устройством пользовался пострадавший.
Как только жертва вводит все необходимые данные в поля фишинговой формы, API Robin Banks отправляет POST-запрос, содержащий два уникальных токена: один для оператора кампании и один для жертвы. При этом фишинговый сайт передает один POST-запрос для каждой заполненной жертвой страницы, ведь мошенничество может прерваться в любой момент, например, если пользователь что-то заподозрит или у него возникнут проблемы со связью.
