هشدار: بیش از ۱۵۰۰۰ دامنه جعلی فروشگاه تیک‌تاک برای سرقت ارزهای دیجیتال و انتشار بدافزار

به گزارش زوم تک به نقل از The Hacker News، محققان امنیت سایبری از یک کمپین مخرب گسترده پرده برداشتند که کاربران TikTok Shop را در سراسر جهان با هدف سرقت اطلاعات و توزیع اپلیکیشن‌های آلوده، هدف قرار داده است.

شرکت CTM360 در بحرین اعلام کرد: “مهاجمان سایبری از طریق یک استراتژی حمله دوگانه که فیشینگ و بدافزار را ترکیب می‌کند، از پلتفرم تجارت الکترونیک درون‌برنامه‌ای رسمی سوءاستفاده می‌کنند تا کاربران را هدف قرار دهند.” هسته این تاکتیک، یک نسخه جعلی و فریب‌دهنده از TikTok Shop است که کاربران را به این باور می‌رساند که در حال تعامل با یک پلتفرم قانونی هستند.

این کمپین کلاهبرداری توسط شرکت CTM360 با نام «ClickTok» نام‌گذاری شده و استراتژی توزیع چندجانبه مهاجمان را که شامل تبلیغات متا و ویدیوهای تولید شده با هوش مصنوعی (AI) در تیک‌تاک است و از اینفلوئنسرها یا سفیران برند تقلید می‌کنند، برجسته می‌کند.

محور اصلی این تلاش، استفاده از دامنه‌های جعلی است که شبیه به آدرس‌های قانونی تیک‌تاک هستند. تاکنون بیش از ۱۵,۰۰۰ وب‌سایت مشابه شناسایی شده است. بخش عمده‌ای از این دامنه‌ها روی دامنه‌های سطح بالا مانند .top، .shop و .icu میزبانی می‌شوند.

این دامنه‌ها برای میزبانی صفحات فرود فیشینگ طراحی شده‌اند که یا اطلاعات کاربری را سرقت می‌کنند یا اپلیکیشن‌های جعلی را توزیع می‌کنند که حاوی نوعی از بدافزار شناخته‌شده به نام SparkKitty است. این بدافزار قادر به جمع‌آوری اطلاعات از هر دو دستگاه اندروید و iOS است.

علاوه بر این، بخش قابل توجهی از این صفحات فیشینگ، کاربران را با تبلیغ لیست محصولات جعلی و تخفیف‌های سنگین، به واریز ارز دیجیتال در فروشگاه‌های تقلبی فریب می‌دهند. CTM360 اعلام کرد که حداقل ۵,۰۰۰ آدرس اینترنتی را شناسایی کرده که با هدف دانلود اپلیکیشن آلوده به بدافزار، با تبلیغ آن به عنوان TikTok Shop راه‌اندازی شده‌اند.

این شرکت توضیح داد: “این کلاهبرداری فعالیت‌های قانونی TikTok Shop را از طریق تبلیغات جعلی، پروفایل‌ها و محتوای تولید شده با هوش مصنوعی تقلید می‌کند و با فریب کاربران، بدافزار را توزیع می‌کند.” تبلیغات جعلی به طور گسترده در فیسبوک و تیک‌تاک منتشر شده و ویدیوهای تولید شده با هوش مصنوعی که تبلیغات واقعی را تقلید می‌کنند، کاربران را با پیشنهادهای دارای تخفیف سنگین جذب می‌کنند.

این طرح کلاهبرداری با سه انگیزه اصلی عمل می‌کند، اگرچه هدف نهایی، صرف‌نظر از استراتژی کسب درآمد غیرقانونی مورد استفاده، سود مالی است:

• فریب خریداران و فروشندگان وابسته (سازندگانی که محصولات را در ازای کمیسیون حاصل از فروش از طریق لینک‌های وابسته تبلیغ می‌کنند) با محصولات جعلی و تخفیف‌خورده و درخواست پرداخت با ارز دیجیتال.
• متقاعد کردن شرکت‌کنندگان وابسته به “شارژ کردن” کیف پول‌های جعلی درون سایتی با ارز دیجیتال، تحت وعده پرداخت کمیسیون‌های آتی یا پاداش‌های برداشت که هرگز محقق نمی‌شوند.
• استفاده از صفحات ورود جعلی TikTok Shop برای سرقت اطلاعات کاربری یا دستور به دانلود اپلیکیشن‌های آلوده تیک‌تاک.

این اپلیکیشن مخرب، پس از نصب، از قربانی می‌خواهد اطلاعات خود را با استفاده از حساب ایمیل خود وارد کند. این تلاش به عمد بارها ناموفق می‌شود تا مهاجمان به آن‌ها یک روش ورود جایگزین با استفاده از حساب گوگل را ارائه دهند.

این رویکرد احتمالا برای دور زدن جریان‌های احراز هویت سنتی و استفاده از توکن نشست ایجاد شده با روش مبتنی بر OAuth برای دسترسی غیرمجاز بدون نیاز به تأیید ایمیل در برنامه است. اگر قربانی وارد شده سعی کند به بخش TikTok Shop دسترسی پیدا کند، به یک صفحه ورود جعلی هدایت می‌شود که اطلاعات او را درخواست می‌کند.

در این اپلیکیشن، بدافزار SparkKitty نیز وجود دارد که قادر به شناسایی دستگاه و استفاده از تکنیک‌های تشخیص کاراکتر نوری (OCR) برای تجزیه و تحلیل اسکرین‌شات‌ها در گالری عکس کاربر برای یافتن عبارت بازیابی کیف پول‌های ارز دیجیتال و انتقال آن‌ها به یک سرور تحت کنترل مهاجم است.

این افشاگری در حالی منتشر می‌شود که این شرکت یک کمپین فیشینگ هدفمند دیگر به نام CyberHeist Phish را نیز فاش کرده است که از تبلیغات گوگل و هزاران لینک فیشینگ برای فریب قربانیانی استفاده می‌کند که به دنبال سایت‌های بانکداری آنلاین شرکتی هستند تا به صفحات به ظاهر بی‌ضرر هدایت شوند که پورتال ورود بانک مورد نظر را تقلید کرده و برای سرقت اطلاعات کاربری طراحی شده‌اند.

CTM360 گفت: “این عملیات فیشینگ به دلیل ماهیت گریزنده، گزینشی و تعامل لحظه‌ای مهاجمان با هدف برای جمع‌آوری احراز هویت دو مرحله‌ای در هر مرحله از ورود، ایجاد ذینفع و انتقال وجه، بسیار پیچیده است.”

در ماه‌های اخیر، کمپین‌های فیشینگ نیز کاربران Meta Business Suite را به عنوان بخشی از یک کمپین به نام Meta Mirage هدف قرار داده‌اند که از هشدارهای ایمیلی جعلی نقض سیاست، اطلاعیه‌های محدودیت حساب تبلیغاتی و درخواست‌های تأیید فریبنده استفاده می‌کند که از طریق ایمیل و پیام‌های مستقیم توزیع شده و قربانیان را به صفحات جمع‌آوری اطلاعات کاربری و کوکی‌ها هدایت می‌کند که در Vercel، GitHub Pages، Netlify و Firebase میزبانی می‌شوند.

این شرکت افزود: “این کمپین بر به خطر انداختن دارایی‌های تجاری با ارزش بالا، از جمله حساب‌های تبلیغاتی، صفحات برند تأیید شده و دسترسی در سطح مدیر در پلتفرم تمرکز دارد.”

این تحولات همزمان با توصیه‌ای از سوی FinCEN (شبکه اجرای جرایم مالی) وزارت خزانه‌داری ایالات متحده منتشر شده است که از مؤسسات مالی می‌خواهد در شناسایی و گزارش فعالیت‌های مشکوک مربوط به کیوسک‌های ارز مجازی قابل تبدیل (CVC) هوشیار باشند تا با کلاهبرداری و سایر فعالیت‌های غیرقانونی مبارزه کنند.

آندریا گاکی، مدیر FinCEN، گفت: “مجرمان در تلاش‌های خود برای سرقت پول از قربانیان بی‌امان هستند و یاد گرفته‌اند از فناوری‌های نوآورانه مانند کیوسک‌های CVC سوءاستفاده کنند. ایالات متحده متعهد به حفاظت از اکوسیستم دارایی‌های دیجیتال برای کسب‌وکارهای قانونی و مصرف‌کنندگان است و مؤسسات مالی یک شریک حیاتی در این تلاش هستند.”