AG公司云
精准短信垂纶频发，已有多个银行用户中招！
2021-03-05
一. 事务概述
2021年2月至今，AG公司科技应急响应团队监测到天下多个省份泛起多起仿冒银行域名的短信垂纶事务，其中垂纶剧本、攻击手法及垂纶网站页面均高度相似，可基本确认是统一黑产团伙所为。垂纶短信称受害者手机银行即将逾期或账户被冻结，并附带仿冒的垂纶网站域名。垂纶网站与目的手机银行登录界面高度相似，并诱导用户输入身份证号、手机号、手机银行登录密码、短信验证码、生意密码等敏感信息。
现在已有多个受害者账户余额被黑产团伙盗刷，请宽大用户提高小心严加提防。
二. 事务剖析
攻击者首先通过境外域名注册商注册了大宗6至8位的无纪律域名，用于后期频仍替换垂纶网站域名，同时剖析地点也均为攻击者在境外购置的VPS。
垂纶网站首先会判断用户浏览器信息，并诱导用户使用手机浏览器会见。
网站内容均伪造为各银行的手机银行登录界面，并要求受害者用户输入登录名及密码。
用户输入登录信息后，首先会弹出伪造的登录进度条信息。
同时网站后台会实时挪用目的银行身份验证接口，对用户输入登录信息举行校验，并凭证校验效果返回差别的下一步垂纶页面。
若用户输入登录信息校验欠亨过，将返回仿冒的过失信息代码页面。
若用户输入登录信息校验通过，则返回要求输入生意密码及手机验证码页面。
在用户提交生意密码及银行发送的手机验证码后，页面将弹出仿冒的账户激活进度条，攻击者此时已在后台通过手机银行举行了转账操作。
在转账前，攻击者还通过某接口获取了受害用户照片信息，并团结AI换脸手艺，绕过了人脸识别校验，并使用银行某些转账功效身份校验缺陷，最终完成转账盗刷。
三. 攻击者画像
特征一：专业团伙
该团伙前期做了大宗踩点和测试事情，对目的银行的营业系统、营业逻辑及清静误差均有所掌握，别的攻击者还对垂纶网站及VPS均做了响应的清静加固步伐。
特征二：目的明确
该团伙主要瞄准地方性银行，并凭证手机号码归属地向目的银行所在地区用户发送垂纶短信。
特征三：精准高效
区别于古板垂纶网站，此次垂纶网站会挪用目的银行接口校验用户输入信息，以过滤掉无关过失信息，并实时对最终受害用户执行转账操作。
特征四：快速转移
该团伙在乐成偷取目的银行部分用户的资金后，往往会快速切换域名或跟换VPS地点，同时将目的转移至下一个银行，以避免被进一步剖析跟踪。
四. 清静建议
1. 排查手机银行、微信银行、PC网银等电子渠道系统相关身份认证流程，对保存验证缺陷或误差的功效实时举行加固整改。
2. 通过风控系统对高频登录、异地登录、装备切换、单装备多账号登录等异常营业行为举行审计、告警、阻断。
3. 实时更新人脸识别组件版本，提高人脸识别率，或在人脸识别基础上增添双因子或多因子验证步伐。
4. 通过手机短信、微信公众号、手机APP等通知方法，向客户宣传垂纶诈骗相关提防步伐，提高客户网络清静意识。
五. 附录
攻击团伙部分VPS地点：
41.216.177.89
203.78.140.153
41.216.177.30
41.216.177.52
156.253.11.4
156.226.23.29
声明
本清静通告仅用来形貌可能保存的清静问题，AG公司科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，AG公司科技以及清静通告作者不为此肩负任何责任。
AG公司科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经AG公司科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
