.jpg)
2021年11月、 スウェーデンのデジタル フォレンジック非営利団体 Qurium Media のテクニカル ディレクターである Tord Lundström 氏は、奇妙なことに気付きました。 大規模な分散型サービス妨害 (DDoS) 攻撃は、非営利団体がホストする代替のフィリピンのメディア アウトレットである Bulatlat を標的にしていました。 それは Facebook ユーザーからのものでした。
ルンドストロームと彼のチーム 見つかった 攻撃は始まりに過ぎなかった。 Bulatlat は、洗練されたベトナムのトロール ファームの標的となり、数千もの Fb アカウントの資格情報を取得して悪意のあるボットに変え、さらに多くのアカウントの資格情報を標的にして数を増やしていました。
この攻撃の量は、以前から攻撃対象となっていたブララットでも驚異的でした。 検閲と 主なサイバー攻撃. Qurium のチームは、1 日に最大 60,000 の IP アドレスをブロックして、Bulatlat の Website サイトにアクセスできないようにしていました。 「それがどこから来ているのか、人々が Bulatlat Net サイトの特定の部分にアクセスする理由はわかりませんでした」と Lundström 氏は言います。
彼らが攻撃を追跡したとき、事態はさらに奇妙になりました. Lundström と彼のチームは、Bulatlat の World-wide-web サイトのページへのリクエストが、実際には、ポルノへのリンクのように見せかけた Facebook のリンクから来ていることを発見しました。 これらの詐欺リンクは、Facebook ユーザーの資格情報を取得し、トラフィックを Bulatlat にリダイレクトして、基本的にフィッシング攻撃と DDoS 攻撃を同時に実行しました。 そこから、侵害されたアカウントは自動化されて、同じ偽のポルノ リンクをネットワークにスパム送信し、さらに多くのユーザーが Bulatlat の Website サイトに移動しました。
Fb の親会社である Meta は、フィッシング詐欺や問題のあるリンクを検出するシステムを導入していますが、Qurium は、攻撃者が「バウンス ドメイン」を使用していることを発見しました。 つまり、Meta の検出システムがドメインをテストすると、正規の Net サイトにリンクされますが、通常のユーザーがリンクをクリックすると、フィッシング サイトにリダイレクトされます。
数か月にわたる調査の結果、Qurium は、フィッシング サイトのドメイン名の一部を登録していた Mac Quan Inc. というベトナムの企業を特定することができました。 Qurium は、ベトナムのグループが約 100 の異なるドメイン名を使用して、30 か国以上から 500,000 人以上の Fb ユーザーの資格情報を取得したと推定しています。 100 万を超えるアカウントがボット ネットワークの標的になっていると考えられています。
Meta の検出システムをさらに回避するために、攻撃者は「レジデンシャル プロキシ」を使用して、盗まれた Facebook アカウントと同じ国に拠点を置く仲介者 (通常はローカルの携帯電話) を介してトラフィックをルーティングし、ログインがローカルからのものであるかのように見せかけました。 IPアドレス。 「世界中のどこからでも、誰でもこれらのアカウントにアクセスして、好きなように使用できます」と Lundström 氏は言います。
「Mac Quan IT」の Facebook ページには、その所有者がドメイン会社 Namecheap.com のエンジニアであると記載されており、2021 年 5 月 30 日の投稿で、「いいね」とフォロワーの販売を宣伝していました。フォロワー1,000人で2万円。 WIRED は、Facebook ページに添付されたメールにコメントを求めましたが、応答はありませんでした。 Qurium はさらに、ドメイン名を追跡して、Mien Trung Vinh という人物に登録された電子メールにたどり着きました。