काउंटरिंग मोबाइल फ्रॉड: फिशिंग मैसेज के बाद क्या होता है

- नमस्कार! हैलो, मैंने गलती से मेरे बजाय अपने फोन पर पैसा लगाया। क्या आप उन्हें मेरे पास लौटा सकते हैं?
- नमस्कार, आप कंपनी के सूचना सुरक्षा विभाग के एक कर्मचारी के साथ बात कर रहे हैं, जिसके ग्राहक आपको धोखा देने की कोशिश कर रहे हैं।
- और क्या, यह किसी भी तरह आपको मेरे खाते में पैसे स्थानांतरित करने से रोकता है?

कट के तहत एक और धोखाधड़ी की मेलिंग सूची के बारे में जानकारी प्राप्त करने की जांच की कहानी है। एक ऐसी जांच जो हम हर बार करते हैं जब हम मोबाइल नेटवर्क में धोखेबाजों की गतिविधि से अवगत होते हैं।

हमारी कंपनी के कई विभाग मोबाइल धोखाधड़ी का सामना करने में शामिल हैं, और सूचना सुरक्षा विभाग, जहां मैं काम करता हूं, इन इकाइयों में से सिर्फ एक है। कड़ाई से बोलना, अपने आप में मोबाइल धोखाधड़ी एक आईटी खतरा नहीं है, लेकिन यह कंपनी के ग्राहकों और इसके बुनियादी ढांचे दोनों के संबंध में धोखेबाजों द्वारा इस तरह के खतरों के संभावित कार्यान्वयन के बारे में बात कर सकता है। सीधे शब्दों में कहें, यह वर्गीकृत किया जाता है, सबसे अधिक बार, सामाजिक इंजीनियरिंग के रूप में, जिसके परिणामस्वरूप एक आईटी खतरा महसूस होता है।

तदनुसार, जब स्कैमर की अगली गतिविधि के बारे में जानकारी प्राप्त होती है, तो उस योजना को जल्दी से समझना बहुत महत्वपूर्ण है जिसके द्वारा वे काम करते हैं। फर्जी गतिविधियों को रोकने के लिए परिचालन उपाय करने और ग्राहकों और कानून प्रवर्तन एजेंसियों को समय पर सूचित करने के लिए आवश्यक सभी जानकारी एकत्र करने के लिए यह आवश्यक है।

यहाँ हम क्या करते हैं:

• हम विभिन्न सूचना प्रणालियों और प्रौद्योगिकियों का उपयोग करके किए गए हमलों के परिदृश्यों का पुनर्निर्माण करेंगे;
• यदि उन्हें लागू करने के लिए उपयोग किया जाता है, तो मैलवेयर विश्लेषण करें;
• हम उन कारणों की जांच करेंगे कि हमला क्यों संभव हुआ (विभाग की जिम्मेदारी के क्षेत्र में झूठ बोलना);
• हम भविष्य में इस तरह के हमलों को रोकने के लिए उन्हें समाप्त करने के लिए और संभव हद तक तकनीकी उपाय विकसित कर रहे हैं।

उस जुलाई के दिन, यह सब LJ के लेखकों में से एक की कंपनी की अपील के साथ शुरू हुआ (यहाँ उसका पद है ) धोखाधड़ी की गतिविधियों की शिकायत। एक एसएमएस सब्सक्राइबर को भेजा गया था: "एक फोटो एमएमएस प्रारूप में प्राप्त किया गया था: http: // mms-beeline.ru/ms256918" एक अज्ञात व्यक्ति से। लिंक का अनुसरण करते समय, ग्राहक के मोबाइल फोन ब्राउज़र ने j2me एप्लिकेशन को डाउनलोड करने और इंस्टॉल करने का सुझाव दिया। सब्सक्राइबर ने इसे डाउनलोड करने की हिम्मत नहीं की, लेकिन बस हमें एक संभावित हमले की सूचना दी, यह मानते हुए कि वह केवल उसी से दूर था जो इस समाचार पत्र का पता बन गया था।

प्रारंभिक जानकारी इकट्ठा करना

पहली अपील के तुरंत बाद कई और इसी तरह की शिकायतों की प्राप्ति के द्वारा समाचार पत्र की विशाल प्रकृति की पुष्टि की गई थी। केवल एसएमएस भेजने वाले के मोबाइल नंबर और एक ही जावा एप्लिकेशन को डाउनलोड करने के लिंक अलग-अलग थे। संख्या "हमारी" नहीं थी, इसलिए किसी अन्य ऑपरेटर की सुरक्षा सेवा के लिए अनुरोध किया गया था। वाणिज्यिक संचालन में इन नंबरों की अनुपस्थिति के बारे में तत्काल प्रतिक्रिया प्राप्त हुई: इसने संकेत दिया कि जालसाज़ ने कई तृतीय-पक्ष एसएमएस संदेश सेवाओं में से एक की सेवाओं का उपयोग किया जो प्रेषक के नंबर क्षेत्र में मनमानी सामग्री का संकेत देकर सेवा प्रदान करते हैं।

अनुप्रयोग विश्लेषण

इसमें मदद करने वाली जानकारी की तलाश में, हमने भेजे गए लिंक की सामग्री का विश्लेषण करना शुरू किया। इसने 5941 बाइट्स, MD5 हैश B6CE4C19E18E757D8FD4FF4E4571A942 की मात्रा के साथ एक जार संग्रह प्रदान किया और j2me अनुप्रयोगों के लिए अधिक या कम विशिष्ट सामग्री:

¦ icon.png
¦ percent.txt
¦ screen1.txt
¦ screen2.txt
¦ screen3.txt
¦ sms.txt
¦ url.txt
¦
+---Beeline
¦ a.class
¦
L---META-INF
MANIFEST.MF

इन फ़ाइलों में से सबसे बड़ी दिलचस्पी sms.txt थी, जिसमें एक ही लाइन थी:
[49:848499:p:154 n:134136198]

इस लाइन के टुकड़े निश्चित रूप से Vkontakte सामाजिक नेटवर्क के कई उपयोगकर्ताओं के लिए परिचित लगेंगे: इस नेटवर्क में भुगतान प्रणाली बंद होने से पहले, 848499 पाठ के साथ एक एसएमएस संदेश भेजकर हमारी कंपनी के ग्राहकों द्वारा इलेक्ट्रॉनिक वॉलेट को फिर से भरने के लिए एक छोटी संख्या थी "p: 154 n: 134136198 ”, जो 154 रूबल के बराबर राशि में संबंधित आईडी के साथ एक वॉलेट को फिर से भरने के लिए एक कमांड है। शेष संग्रह फ़ाइलों में ऐसी कोई जानकारी नहीं थी जो हमारी जाँच में मदद कर सके।

अधिक जटिल अनुप्रयोग, जिसमें से आवश्यक जानकारी को सरल तरीके से निकालना संभव नहीं है, विघटित हो जाते हैं और परिणामस्वरूप कोड विस्तृत विश्लेषण के अधीन होता है। अक्सर, प्रारंभिक जानकारी एकत्र करने की प्रक्रिया को तेज करने के लिए, यह कार्य एंटीवायरस कंपनियों के विश्लेषकों के लिए छोड़ दिया जाता है जिनके साथ हमने सहभागिता स्थापित की है। हालांकि, इस मामले में, यह आवश्यक नहीं था। आवेदन के तंत्र के बारे में अधिक विस्तृत जानकारी प्राप्त करने के लिए, यह एमुलेटर पर चलाया गया था। स्टार्टअप पर, स्क्रीन पर एक संदेश प्रदर्शित किया गया था जो एमएमएस की रसीद का अनुकरण करता है:

"ओके" पर क्लिक करने पर, एप्लिकेशन ने बिना किसी बाहरी अनुरोध के संदेश को लोड करने का अनुकरण किया:



हर 10%, एप्लिकेशन को "ओके" पर एक दूसरे क्लिक की उम्मीद थी, जिसके बाद "डाउनलोड" जारी रहा। 50% तक पहुंचने पर, आवेदन ने उपरोक्त एसएमएस भेजा:



100% तक पहुंचने पर, एक बूट त्रुटि संदेश प्रदर्शित किया गया था:



उसके बाद, आवेदन ने अपना काम पूरा किया। ओके बटन को दस बार दबाने की आवश्यकता को बहुत सरल रूप से समझाया गया: एसएमएस भेजने और / या भुगतान किए जाने की पुष्टि करने की आवश्यकता के बारे में चेतावनी के मामले में, स्कैमर्स ने गणना की कि उपयोगकर्ता, इस बटन को पहले ही कई बार दबा चुका है, इस समय निष्क्रियता इसे दबाएगी। एक पुष्टिकरण अनुरोध दिखाई देता है, जिससे आपके मोबाइल खाते से घोटाला वॉलेट पुनः प्राप्त होता है।

प्रोसेसिंग की जानकारी मिली

निकाली जा सकने वाली सभी जानकारी आवेदन से प्राप्त की गई थी। प्राप्त ई-वॉलेट आईडी द्वारा एक खोज Vkontakte नेटवर्क पर उसके मालिक के पृष्ठ पर ले गई। बेशक, यह मानने का कोई कारण नहीं था कि इस पृष्ठ का वास्तविक व्यक्ति के साथ कुछ भी लेना-देना है, जैसे वह, यदि वह बिल्कुल भी मौजूद था, तो हैकिंग का शिकार नहीं हुआ और अब उसके बटुए का उपयोग फंड के कलेक्टर के रूप में स्कैमर्स द्वारा किया जाता है। अवैध रूप से प्राप्त किया। हालांकि, यह जानकारी पर्याप्त से अधिक थी कि, कानून प्रवर्तन एजेंसियों के अनुरोध पर, इस बटुए पर सभी फंड जमे हुए थे।

अभी भी पकड़ने के लिए कुछ था - यह वह डोमेन है जिसके सर्वर पर संग्रह संग्रहीत किया गया था। डोमेन स्वयं रूसी संघ के नागरिक संहिता के अनुच्छेद 1229 और संघीय कानून 135 के अनुच्छेद 14 के "प्रतिस्पर्धा से संरक्षण" के अनुच्छेद 1 के उल्लंघन के रूप में पंजीकृत था, क्योंकि इसमें हमारी कंपनी का पंजीकृत ट्रेडमार्क था। यह उनके प्रतिनिधिमंडल के निलंबन के संबंध में रजिस्ट्रार से अपील करने का एक अच्छा पर्याप्त कारण था। एक नियम के रूप में, रजिस्ट्रार ऐसी स्थितियों में मिलते हैं जब यह स्पष्ट होता है कि डोमेन का उपयोग अवैध उद्देश्यों के लिए किया जाता है और, मामले को अदालत में नहीं लाना चाहते हैं, वे तब तक डोमेन के प्रतिनिधिमंडल को रोकते हैं जब तक कि इस्तेमाल किए गए ट्रेडमार्क के अधिकारों की पुष्टि उसके मालिक को नहीं मिलती है। डोमेन mms-beeline.ru के लिए whois अनुरोध ने निम्नलिखित जानकारी दी:

डोमेन: MMS-BEELINE.RU
nserver: ns1.cishost.ru
nserver: ns2.cishost.ru
राज्य: पंजीकृत, उपेक्षित, असंबद्ध
व्यक्ति: निजी व्यक्ति
ई-मेल: ***nak@mail.ru
रजिस्ट्रार: REGTIME-REG-RIPN
बनाया गया: 2011.05.12
भुगतान किया गया: 2012.05.12 तक
स्रोत: टीसीआई

इसमें हमारी रुचि के दो बिंदु थे: सबसे पहले, डोमेन रूसी होस्टर में पार्क किया गया था, जिसका अर्थ था कि कानून प्रवर्तन एजेंसियों के लिए किसी भी बाहरी बाधाओं की अनुपस्थिति, इसके मालिक, आईपी पते, जिसमें से सर्वर प्रशासित था, आदि के बारे में सभी उपलब्ध जानकारी प्राप्त करने में। एन। दूसरे, डोमेन पंजीकरण के दौरान इंगित किया गया डाक पता ब्याज का था। इस पते पर पंजीकृत डोमेन की खोज ने एक निश्चित परिणाम दिया: mms-megafonnw.ru, tarifs-beeline.ru, mobile-bonus-mvideo.ru। जाहिर है, हम एकमात्र कंपनी नहीं थे जिसके ब्रांड स्कैमर अपने लक्ष्यों को प्राप्त करने के लिए इस्तेमाल करते थे। तदनुसार, इन ट्रेडमार्क के मालिकों को तुरंत सूचित किया गया था।

लेकिन सबसे दिलचस्प और एक ही समय में हमारे लिए सीधे बेकार परिणाम धोखेबाज के मेलिंग पते के बारे में जानकारी खोजने का काम था। हैकर मंचों में से एक में, खुले रूप में, इस मेलबॉक्स के लिए पासवर्ड को स्थानीय नियमित में से एक द्वारा हैक किए गए हजारों पतों के बीच इंगित किया गया था और मंच पर आगंतुकों के लिए उपहार के रूप में रखा गया था। जिसके कारण फिर से यह विचार आया कि इस बॉक्स का उपयोग किसी के भी डोमेन को पंजीकृत करने के लिए किया जा सकता है, न कि इसके सही मालिक के लिए। बेशक, इस जानकारी का उपयोग करने का प्रलोभन था। लेकिन हमारे पास इस बॉक्स को एक्सेस करने का वास्तविक अधिकार नहीं था, लेकिन कानून प्रवर्तन अधिकारियों के पास हमेशा ऐसा अधिकार था, और पासवर्ड का ज्ञान इसके कार्यान्वयन के लिए कभी भी आवश्यक नहीं था। इस प्रकार, यह जानकारी कानून प्रवर्तन एजेंसियों को संभावित हस्तांतरण के लिए पहले से तैयार की गई जानकारी में जोड़ा गया था।

कार्रवाई करना

हमारे अनुरोध पर, mms-beeline.ru डोमेन के प्रतिनिधिमंडल को तुरंत रजिस्ट्रार द्वारा निलंबित कर दिया गया। बाद में, शायद जालसाज़ों के डोमेन में इस्तेमाल किए गए ट्रेडमार्क मालिकों में से एक के अनुरोध पर, इस सर्वर के लिए होस्टिंग सेवा भी रोक दी गई थी। जालसाज के इलेक्ट्रॉनिक वॉलेट में भुगतान स्वीकार करने पर रोक लगा दी गई थी। सब्सक्राइबर्स को फर्जी गतिविधि के बारे में सूचित किया जाता है, और एकत्र की गई सभी जानकारी उनसे अनुरोध करने पर कानून प्रवर्तन में स्थानांतरित करने के लिए तैयार की जाती है, जिसे उन्होंने अधिसूचित भी किया था।

निष्कर्ष में

इसके परिणाम और इसी तरह के मेलिंग ( एक अन्य उदाहरण ) से संबंधित कई अन्य जांचों के बाद, कंपनी ने कास्परस्की लैब के साथ एक सहयोग समझौते को बढ़ाया और मल्टीमीडिया संदेशों के यातायात पर नियंत्रण को मजबूत किया। इस साल की शुरुआत में, इस कंपनी के साथ धोखेबाजों के मोबाइल नंबरों के परिचालन अवरोध के बारे में ऑनलाइन बातचीत पर एक समझौता हुआ था जिसका उपयोग वे मालवेयर हमलों के परिणामस्वरूप पैसे भेजने और इकट्ठा करने के लिए करते हैं।

पिछले दो वर्षों में, मोबाइल धोखाधड़ी का मुकाबला करने के परिणामस्वरूप प्राप्त अनुभव के आधार पर, कंपनी ने अपने ग्राहकों को घुसपैठियों द्वारा अवैध कार्यों से बचाने के लिए कई अतिरिक्त तकनीकी और संगठनात्मक उपायों को भी लागू किया है। अन्य मोबाइल ऑपरेटरों, कानून प्रवर्तन एजेंसियों और मीडिया के साथ बातचीत करके धोखाधड़ी कृत्यों के संपर्क में आने वाले ग्राहकों के कॉल का जवाब देने के लिए एक प्रक्रिया विकसित की गई थी। इस विषय में वर्णित, इस प्रक्रिया का परिणाम था। " मोबाइल साक्षरता " परियोजना शुरू की गई थी, जिसका उद्देश्य मोबाइल धोखाधड़ी की योजनाओं के बारे में कंपनी की ग्राहकों की जागरूकता (नई उभरती हुई) योजनाओं के बारे में जानकारी देना और उन्हें बढ़ाना था। प्रोजेक्ट वेबसाइट में हमलावरों के कार्यों से अपने आप को और प्रियजनों को बचाने के लिए धोखाधड़ी और सिफारिशों के प्रकारों का वर्णन है, यदि आप स्कैमर्स का शिकार हो जाते हैं, तो कहां जाएं, और इसी तरह से क्या करें। उदाहरण के लिए, फ़िशिंग स्क्रिप्ट ।

कई तकनीकी और प्रशासनिक प्रतिबंधों को लागू करके धोखाधड़ी के संचालन को लागू करना जटिल है:

• "मोबाइल स्थानांतरण" सेवा की कार्यक्षमता में सुधार हुआ है, और अब ग्राहक को इसके अतिरिक्त सूचित किया जाता है कि, जालसाज़ की दिशा में संख्याओं के एक निश्चित संयोजन को डायल करके (उदाहरण के लिए, "फोन को रीसेट करने के लिए माना जाता है"), वह वास्तव में धन हस्तांतरण करने के लिए एक आदेश देता है;
• धन हस्तांतरण के दैनिक और एक बार की राशि पर प्रतिबंध लागू किया गया है;
• कई "मोबाइल कॉमर्स" सेवाओं पर, एक ग्राहक को एक पुष्टिकरण एसएमएस भेजकर खरीदारी पूरी करने की पुष्टि करनी चाहिए।

यदि धोखाधड़ी वाले लेनदेन का पता लगाया जाता है, तो "मोबाइल कॉमर्स" की सेवाएं तुरंत अवरुद्ध हो जाती हैं। सामग्री प्रदाताओं के लिए आवश्यकताओं को भी कड़ा किया गया है: उनकी ओर से धोखाधड़ी के जोखिम को कम करने और जिम्मेदारी के स्तर को बढ़ाने के लिए, साझेदारी समझौतों में संशोधन किए गए हैं, उदाहरण के लिए, धोखाधड़ी वाले ट्रैफ़िक के लिए शुल्क वापस ले रहे हैं। सामग्री प्रदाताओं के लिए जुर्माना पेश किया गया है, जो प्रत्येक विशिष्ट छोटी संख्या (कानूनी सेवाओं से आय सहित) के लिए मासिक राजस्व के बराबर है। सामग्री प्रदाताओं को अब विज्ञापित सेवाओं की ऑनलाइन निगरानी करने की आवश्यकता है और उन्हें धोखाधड़ी के रूप में पहचानी जाने वाली सेवाओं के लिए तुरंत एक्सेस कोड ब्लॉक करने के लिए ब्लैकलिस्ट करना होगा।

वर्तमान में, ऑर्डर की गई सेवा की लागत के बारे में ग्राहक की प्रारंभिक चेतावनी प्रणाली का परीक्षण किया जा रहा है।

इस साल अप्रैल में PS प्रीमियम ट्रैफिक रद्द कर दिया गया था।