L'escroquerie par hameçonnage sans fin : Quand « Natalie Hamilton » est réapparue avec soif de vengeance (et une perceuse électrique)

Quelques mois après notre précédent billet de blog,alors que nous continuions à suivre ces campagnes d'escroquerie, nous sommes à nouveau tombés sur Natalie Hamilton. Cette fois-ci, elle est réapparue avec une soif de vengeance, nous offrant la chance de gagner une perceuse électrique. L'actualisation à plusieurs reprises des témoignages des utilisateurs du site Web frauduleux a abouti au même texte, mais avec une image de profil et une photo de perceuse électrique différentes (Figure 1).

En examinant les composants de redirection de l'escroquerie, nous avons pu constater que l'infrastructure frauduleuse contenait une chaîne de redirections, avec des fonctions anti-détection, ce qui permettait à l'infrastructure de rester résiliente même après la désactivation de certaines parties de l'infrastructure. La résilience de l'infrastructure a été démontrée par des liens de redirection initiaux, trouvés dans la nature, dont on sait qu'ils mènent au site Web de destination frauduleux. Dix mois après leur première utilisation, et même après la suppression du site Web de destination d'origine, les liens sont toujours actifs et mènent à de nouveaux sites d'hameçonnage, comme le célèbre jeu de la taupe. 

En d'autres termes, même une fois le site de destination d'origine d'hameçonnage supprimé et rendu inactif, l'infrastructure de redirection est restée active, ce qui permettait la redirection vers un nouveau site frauduleux.

En outre, lorsque nous avons surveillé le composant de routage (Figure 2), nous avons été en mesure de reconnaître le routage de l'infrastructure comme une preuve de la persistance de l'escroquerie. Le domaine qui facilite le routage montre qu'il a été utilisé pour rediriger les victimes vers des sites Web de destination malveillants depuis au moins mars 2022, avec des preuves de redirection vers au moins 30 domaines malveillants différents.

En examinant les 30 sites Web de destination sur VirusTotal,on constate que ces sites sont signalés comme malveillants par une moyenne de 9,5 moteurs de détection. À l'opposé, le domaine de routage présente un signal de détection faible avec un seul moteur de détection. L'enregistrement du domaine de routage a été effectué en mai 2021, et le domaine a cessé d'exister en avril 2023.

D'après les informations disponibles sur Similarweb, nous pouvons supposer qu'environ 1 million de visiteurs ont été redirigés via le domaine du composant de routage. Même si seulement 0,1 % de ces visiteurs divulguent leurs informations d'identification, cela représente 1 000 identifiants volés. Les identifiants volés sur les marchés noirs se vendent entre 5 et 150 dollars américains chacun, ce qui représente un butin potentiel de 5 000 à 150 000 dollars par an. La prise en compte de ce niveau de revenu potentiel explique facilement ce qui motive les adversaires à commettre des escroqueries et des fraudes.

Les données démographiques (Figure 4) apportent un autre éclairage intéressant. Selon Similarweb, 28 % des victimes potentielles étaient âgées de 25 à 34 ans, et 58 % du total des victimes potentielles étaient des hommes. Ce type d'information est précieux pour concevoir des groupes de discussion pour les programmes de sensibilisation à l'hameçonnage.

Alors que nous recueillons des preuves de la persistance du domaine de routage, il est difficile de ne pas se demander comment ce domaine est resté actif et n'a pas été signalé comme malveillant.

Pour répondre à cette question, nous avons décidé d'analyser plus en détail le domaine de routage afin de mieux comprendre la nature persistante de cette infrastructure d'escroquerie. Même si l'on sait que la fonctionnalité back-end permet la redirection et le filtrage, le front-end a révélé un domaine qui semble être une société de marketing nommée Aria, qui, selon le site Web, offre des « tactiques de marketing en ligne et d'optimisation de la conversion » (Figure 5).

L'examen du contenu de ce site Web a révélé qu'il ne s'agit pas d'un vrai site Web ni d'une vraie société, mais d'un site Web modèle réutilisé à tout va. Les profils des salariés sur le site en sont la preuve : les mêmes photos sont utilisées sur différents sites Web sur Internet, chacune avec un nom, une langue et un rôle différents (Figure 6).

Bien que ces résultats soient surprenants et accablants, nous ne nous sommes pas arrêtés là. Des recherches plus approfondies nous ont permis de trouver des preuves de l'existence d'un autre réseau d'escroquerie, parallèle et connexe, qui utilisait la même fonctionnalité de redirection.

Le modèle frontal utilisé dans ce cas était celui d'une société nommée Notes, qui se présente comme une « entreprise Web passionnée » (Figure 7). Sur cette infrastructure, nous avons pu voir 28 776 domaines qui, à un moment donné, étaient actifs avec ce même modèle. En vérifiant ces domaines avec la fonctionnalité de redirection et de routage du back-end, nous avons déterminé que 9 839 sont toujours des sites Web actifs.

En poursuivant nos recherches, nous avons été stupéfaits de découvrir cinq autres modèles de sites Web dotés d'une fonction de redirection dans le back-end,avec la même fonctionnalité de redirection que les modèles Aria et Notes (Figure 8). Le nombre de domaines associés à ces nouveaux modèles était moins important, mais cela révèle la grande échelle et le niveau élevé des opérations impliquées dans l'infrastructure frauduleuse. Comme les cinq modèles supplémentaires étaient associés aux modèles déjà vus, nous considérons donc qu'ils font partie de la même infrastructure.

Natalie Hamilton continue d'apparaître sous différentes formes. Nous avons pu la retrouver comme gagnante de nombreux prix dans de nombreuses campagnes dans le cadre de cette escroquerie continue (Figure 9). La longévité de l'escroquerie et le grand nombre de marques qu'elle a dupées indiquent sa profondeur. Cette escroquerie concerne toutes les entreprises qui tentent de protéger la réputation de leur marque.