СМС-фишинг под видом банков и госорганов: набор JWR вытягивает данные карты в реальном времени

Схема разворачивается по единому шаблону. Сначала жертва видит правдоподобную страницу входа. Затем её просят ввести личные данные: имя, адрес, телефон, иногда номер документа. Потом наступает очередь банковской карты. В финале жертву просят ввести одноразовый код из СМС. Некоторые сценарии идут дальше: ко второму банку, к брокерскому счёту или к электронному кошельку. Каждый шаг выглядит как рутинная проверка, поэтому настороженность появляется поздно.

За такими кампаниями стоит не одна группа, а целый рынок. По данным Group-IB, речь идёт об экосистеме, известной как Smishing Triad - преступном маркетплейсе, где одна команда разрабатывает фишинговые наборы, другая продаёт базы телефонных номеров, третья рассылает сообщения, а четвёртая меняет площадки и домены. С 2024 года эта структура оставила после себя более 194 тысяч вредоносных доменов в 121 стране. Совокупный доход оценивают в миллиарды долларов.

Отдельные бригады внутри этого рынка почти неразличимы на сетевом уровне: наборы, шифрование и списки поддельных брендов у них общие. Различия проявляются в мелочах - в выборе организаций для маскировки, в доменных зонах, в часах работы и в языковых особенностях служебных полей. Кампанию, разобранную в отчёте, относят к кластеру Outsider, который выступает клиентом общей платформы, а не самостоятельным разработчиком.

Один из наборов, разобранный специалистами до последней строки, носит внутреннее имя JWR. Работает он как полноценное веб-приложение: внешняя часть отвечает за интерфейс и переходы между страницами, а отдельный модуль держит постоянный канал связи с сервером злоумышленников и резервный канал на случай обрыва. Панель управления поддерживает 32 готовых сценария. При этом разработчик не привязывает движок к одной организации: одни и те же внутренние механизмы обслуживают десятки разных поддельных сайтов.

Оператор видит действия жертвы почти без задержки и управляет ими вручную. Один сценарий имитирует перехват СМС-кода, другой - ожидание подтверждения в мобильном приложении, третий - подмену QR-кода, четвёртый - уведомление о том, что карта отклонена и нужна другая. Каждое нажатие клавиши уходит на сервер, поэтому злоумышленник подбирает следующий шаг по ситуации. Когда отвечать на запросы вручную некогда, набор переходит в автоматический режим и ведёт жертву по заранее заданному маршруту.

Объём собираемых данных выходит далеко за пределы номера карты. Набор запрашивает полное имя, адрес, дату рождения, номер паспорта и медицинского полиса. Отдельно жертва передаёт фотографии документов, включая снимок человека с документом в руках: такие изображения нужны, чтобы обойти повторную проверку личности в банке. Сохраняются реквизиты карты, её PIN-код, доступы в интернет-банк сразу для трёх банков и отдельная ветка для платёжного сервиса PayPal. Туда же уходят сведения об устройстве, часовом поясе и примерном местоположении.

Инфраструктура рассчитана на короткую жизнь. Большинство доменов работают два дня или меньше, после чего заменяются новыми. Регистрация идёт через гонконгского регистратора, обслуживание - на облачных мощностях в США. Такой режим затрудняет блокировку: к моменту попадания адреса в чёрные списки он уже не используется. Служебные строки в панели набраны на упрощённом китайском, что указывает на язык операторов. Письма и сообщения они, судя по настройкам, готовят в те часы, когда активна их аудитория.

Отдельного внимания заслуживает шифрование переписки между страницей жертвы и панелью. Каждое сообщение шифруется случайным ключом, и этот же ключ передаётся рядом с зашифрованными данными открыто. Формально трафик выглядит нечитаемым, однако перехваченный пакет расшифровывается за считанные минуты. Защита рассчитана лишь на то, чтобы данные не бросались в глаза при беглом просмотре журналов. Для специалистов это скорее подспорье: структура сообщения всегда одинакова, поэтому её легко распознать и разобрать.

Набор умеет работать не только как самостоятельная страница. Он встраивается в интернет-магазины на WordPress и Shopify, маскируясь под плагин или тему оформления, и тогда дополнительно собирает содержимое корзины. Это заметно расширяет круг потенциальных жертв. Кроме того, оператор настраивает правила удалённо: банковский идентификатор (BIN, первые цифры номера карты) и проверка контрольной суммы определяют, будет ли сессия продолжаться. Перспективные карты ведут к запросу кода, остальные тихо закрываются.

Повторное использование одного движка оборачивается слабостью. Внутренние метки, структура адресов и порядок работы остаются неизменными от кампании к кампании, поэтому однажды найденный отпечаток позволяет отслеживать всё семейство. Организациям стоит следить за появлением новых фишинговых страниц и отслеживать упоминания своего бренда в СМС. Пользователям достаточно простого правила: не переходить по ссылкам из неожиданных сообщений и проверять уведомления только в официальном приложении или на сайте организации.