MoqHao: сеть поддельных сайтов японских банков атаковала владельцев Android

Первыми совпадение заметили два независимых исследователя, публикующие наблюдения в Twitter. Они собрали список из примерно двадцати подозрительных адресов и выложили его в открытый доступ. Публикация стала отправной точкой для более широкой проверки. Помогла история доменных имён (DNS) - архив записей о том, какие адреса когда-либо были привязаны к конкретному имени и наоборот. Такой подход позволяет находить связанные домены даже после того, как часть из них перестала отвечать. Отдельная ценность этого метода в том, что доступ к самим серверам не нужен: исследователь работает с накопленными архивами. Так видны связи между именами, которые внешне не выглядят родственными. Проверка подтвердила находку и добавила к списку новые адреса.

По данным Team Cymru, картина оказалась шире одного банка. Двойники копировали не только AEON: в списке появились адреса, имитирующие The 77 Bank и Jibun Bank. Приём незамысловатый - в официальном названии меняют одну-две буквы. Похожесть рассчитана на беглый взгляд, и этого хватает: пользователь видит знакомое слово и не вчитывается в окончание. Часть имён строилась по одному образцу, часть - по слегка изменённому, но все указывали на одну инфраструктуру. Одни и те же серверные мощности обслуживали по два-три поддельных имени сразу. Такая экономия объяснима: аренда одного сервера обходится дешевле, чем нескольких, а блокировка отдельного адреса не останавливает кампанию целиком.

Размещались сайты в разных странах. Часть работала на мощностях крупных облачных провайдеров, часть - у небольших хостеров в Малайзии, Нидерландах, Румынии, Литве и Франции. Некоторые домены прятались за сервисами защиты от сетевых атак, которые скрывают настоящий адрес сервера и усложняют блокировку. Разнообразие площадок тоже работает на злоумышленников: пока жалоба идёт до одного провайдера, другие сайты продолжают принимать посетителей. На одно из поддельных имён выпустили цифровой сертификат в бесплатном удостоверяющем центре, поэтому браузер показывал защищённое соединение. Однако для остальных имён сертификатов не нашлось. Распространённое заблуждение состоит в том, что защищённое соединение подтверждает подлинность сайта. На деле оно лишь шифрует обмен данными, а выдаётся бесплатно и почти автоматически.

Сетевые данные показали, что к этим серверам обращались более 250 уникальных японских адресов. Все они принадлежали крупным операторам связи страны, то есть речь идёт о домашних пользователях, а не о корпоративных сетях. Вероятнее всего, это жертвы кампании - люди, которые перешли по ссылке и оставили свои данные. Обращения шли по защищённому протоколу, поэтому внешне соединение ничем не отличалось от обычного визита на сайт банка. Злоумышленники старались скрыть источник обращений. Значительная доля трафика шла через узлы сети Tor (анонимной сети), расположенные в Японии и Южной Корее. Пока нельзя утверждать, кто именно стоит за кампанией. При этом наблюдение за инфраструктурой продолжается, и новые поддельные имена отслеживаются по тем же признакам.

MoqHao - не разовая акция. Такие семейства обычно распространяются через СМС-сообщения (СМС-фишинг) и поддельные страницы банков. Жертву уговаривают установить приложение, которое затем читает входящие сообщения, перехватывает одноразовые коды и передаёт их оператору схемы. Поэтому кража денег происходит даже там, где включена дополнительная проверка входа: код подтверждения уходит прямо к мошенникам. Пострадавшим сложно доказать, что операцию совершил не он. Мобильный банкинг в Азии распространён шире, чем в Европе. Смартфон там - основной канал платежей, а значит, и главная цель. Для банков это рост числа спорных операций, обращения клиентов и внимание регулятора. Для владельца смартфона - потеря средств и время на разбирательство, которое не всегда заканчивается возвратом.

Защита строится на простых привычках. Ссылки из СМС лучше не открывать, особенно если сообщение торопит и обещает блокировку счёта. Адрес банка стоит набирать вручную или открывать официальное приложение, а программы устанавливать только из проверенных магазинов. Двухфакторная аутентификация помогает не всегда, но заметно усложняет задачу злоумышленникам. Банкам полезно регулярно проверять, не появились ли в сети копии их доменов, и добиваться их блокировки. Крупные игроки научились снимать чужие копии с публикации быстро, но региональные организации делают это медленнее, чем пользуются мошенники. Хостинг-провайдерам стоит внимательнее относиться к жалобам на фишинговые страницы: их площадки продлевают жизнь таким схемам.

Схема с подменой имени банка живёт годами, потому что обходится дёшево. Похожий адрес, бесплатный сертификат и пара арендованных серверов - этого достаточно, чтобы собрать данные сотен людей. Домены-двойники почти не требуют поддержки, а ущерб измеряется реальными деньгами клиентов. Наблюдение за новыми именами продолжается, и подделки появляются по уже знакомому шаблону. Банкам и операторам связи остаётся отвечать быстрее: находить подделки, блокировать их и предупреждать клиентов до того, как те потеряют деньги.