- Nhận được một tin nhắn lừa đảo từ số ngẫu nhiên: "Gói hàng USPS đã đến nhưng không thể giao do lỗi địa chỉ. Hãy nhấp vào liên kết bên dưới để xác nhận địa chỉ.."
- Dù nhận ra ngay đây là lừa đảo, người khác vẫn có thể mắc bẫy. Vợ tôi cũng từng bị lừa vài tháng trước
- Sau khi chia sẻ chuyện này trên một kênh trực tuyến, có người (gọi là S1n) quyết định trả đũa kẻ lừa đảo
Điều tra ban đầu
- Dùng quét
nmap để xác định thêm các tên miền và khu vực mà chúng đang sử dụng
- Dùng Burp Suite để chặn lưu lượng và khám phá trang web
- Trang web trong tin nhắn có vẻ là bản sao của trang USPS thật
- Xác nhận cùng một IP và từ đó chắc chắn đây là bọn lừa đảo
Giao tiếp WebSocket
- Thông qua giao tiếp WebSocket, gửi tên tệp và nhận lại nội dung
- Điều này dẫn đến lỗ hổng local file inclusion (LFI)
- Qua LFI, thu thập thêm thông tin về môi trường
Phân tích tệp PHP
- Thu thập toàn bộ các tệp PHP của trang lừa đảo
- Các tệp bị làm rối rất mạnh và chứa ký tự tiếng Trung
- Chúng liên lạc qua kênh Telegram và lưu dữ liệu trên máy chủ MySQL
Thu thập thêm thông tin
- Xác định IP cấu hình thông qua log truy cập
nginx
- Dựa trên thông tin chứng chỉ và IP, suy đoán đây là nhóm lừa đảo Trung Quốc
SQL injection
- Gây lỗi bằng cách dùng dấu nháy đơn trong tham số POST
- Dùng SQLMap để truy cập cơ sở dữ liệu của kẻ lừa đảo
- Khám phá bên trong cơ sở dữ liệu và xác nhận thông tin về bọn lừa đảo
Khám phá cơ sở dữ liệu
- Xem thông tin quản trị viên của kẻ lừa đảo trong bảng
admin
- Xem thông tin cấu hình trang trong bảng
config
- Xem thông tin chi tiết của các nạn nhân trong bảng
userinfo; có 3818 người đã được đăng ký
- Xem thông tin theo dõi khách truy cập trang trong bảng
records
Kết thúc
- S1n không nói sẽ xử lý toàn bộ bằng chứng này như thế nào, nhưng có lẽ sẽ chuyển chúng cho trung tâm phòng chống tội phạm Internet để đóng cửa trang và đưa thủ phạm ra trước pháp luật
3 bình luận
Ở trong nước cũng có rất nhiều tin nhắn spam gửi những URL kỳ lạ như thế này, không biết nếu áp dụng y hệt thì có khả thi không nhỉ?
Theo luật trong nước, việc tấn công cả vào máy chủ ở nước ngoài cũng có thể phát sinh vấn đề pháp lý.
Ít nhất thì theo tôi biết, ở nơi công khai, việc đó chỉ được cho phép trong phạm vi cực kỳ hạn chế.
Ý kiến trên Hacker News
NanoBaiter: Hoạt động dụ bọn lừa đảo trên YouTube rồi hack hệ thống của chúng để cản trở việc vận hành
Giá trị muối của mật khẩu được mã hóa: dùng
wangduoyu666!.+-wangduoyu666,wangduoyu8,wdy666666Giáo dục đạo đức công nghệ: một sinh viên khoa học máy tính ở Trung Quốc đang dùng kỹ năng đã học để kiếm thêm thu nhập
Mạng lưới Smishing Triad: gửi tới 100.000 tin nhắn lừa đảo mỗi ngày ra toàn thế giới
Hack tội phạm mạng: đặt câu hỏi liệu việc hack tội phạm mạng có thể bị xử phạt về mặt pháp lý hay không
Cách phớt lờ hacker và bọn lừa đảo: học được rằng phớt lờ hacker và bọn lừa đảo là tốt nhất
Cần một hạ tầng điện thoại/tin nhắn mới: nhấn mạnh sự cần thiết của hạ tầng có thể ngăn chặn giả mạo số và lọc các nỗ lực lừa đảo
Điều khoản ngoại lệ của CFAA: cho rằng cần có điều khoản ngoại lệ trong CFAA cho những tình huống như thế này