Los atacantes dirigen la empresa criminal como una empresa legítima
Han surgido más detalles sobre un bot malicioso de Telegram llamado Telekopye que utilizan los actores de amenazas para realizar estafas de phishing a gran escala.
"Telekopye puede crear sitios web de phishing, correos electrónicos, mensajes SMS y más", dijo en un nuevo análisis el investigador de seguridad de ESET Radek Jizba.
Se sabe que los actores de amenazas detrás de la operación, cuyo nombre en código es Neanderthals, dirigen la empresa criminal como una empresa legítima, generando una estructura jerárquica que abarca diferentes miembros que asumen diversos roles.
Una vez que los aspirantes a Neanderthals son reclutados a través de anuncios en foros clandestinos, se les invita a unirse a los canales designados de Telegram que se utilizan para comunicarse con otros Neanderthals y realizar un seguimiento de los registros de transacciones.
El objetivo final de la operación es realizar uno de los tres tipos de estafas: vendedor, comprador o reembolso.
En el caso del primero, los Neanderthals se hacen pasar por vendedores e intentan atraer a desprevenidos "Mammoths" para que compren un artículo inexistente. Las estafas de compradores implican que los Neanderthals se hagan pasar por compradores para engañar a los Mammoths (es decir, compradores) para que ingresen sus detalles financieros para desprenderse de sus fondos.
Otros escenarios entran en una categoría llamada estafas de reembolso, en la que los Neanderthals engañan a los Mammoths por segunda vez con el pretexto de ofrecer un reembolso, sólo para deducir nuevamente la misma cantidad de dinero.
La empresa de ciberseguridad Group-IB, con sede en Singapur, dijo anteriormente que la actividad rastreada como Telekopye es la misma que Classiscam, que se refiere a un programa de estafa como servicio que ha generado a los actores criminales 64,5 millones de dólares en ganancias ilícitas desde su aparición en 2019.
"Para el escenario de estafa del vendedor, se recomienda a los Neanderthals que preparen fotografías adicionales del artículo para estar listos si los Mammoths solicitan detalles adicionales", señaló Jizba. "Si los Neanderthals utilizan imágenes que descargaron online, se supone que deben editarlas para dificultar la búsqueda de imágenes".
Elegir un Mammoth para una estafa de comprador es un proceso deliberado que tiene en cuenta el sexo, la edad, la experiencia en los mercados en línea, la calificación, las reseñas, la cantidad de transacciones completadas de la víctima, y el tipo de artículos que venden, lo que indica una etapa preparatoria que implica una extensa investigación de mercado.
Los neandertales también utilizan los raspadores web (web scrapers) para examinar los listados de los mercados en línea y elegir un Mammoth ideal que probablemente caiga en el falso plan.
Si un Mammoth prefiere el pago en persona y la entrega en persona de los bienes vendidos, los Neanderthals afirman que "está demasiado lejos o que se va de la ciudad por unos días en viaje de negocios", y al mismo tiempo demostrar un mayor interés en el artículo para aumentar la probabilidad de éxito de la estafa.
También se ha observado que los Neanderthals usan VPN, proxies y TOR para permanecer en el anonimato, mientras exploran estafas inmobiliarias en las que crean sitios web falsos con listados de apartamentos y atraen a los Mammoths para que paguen una tarifa de reserva haciendo clic en un enlace que apunta a un sitio web de phishing.
"Los Neanderthals escriben al propietario legítimo de un apartamento, fingiendo estar interesados y pidiéndole diversos detalles, como fotografías adicionales y qué tipo de vecinos tiene el apartamento", dijo Jizba.
"Los Neanderthals tomaron entonces toda esta información y crearon su propio anuncio en otro sitio web, ofreciendo el apartamento en alquiler. Recortaron el precio de mercado esperado en aproximadamente un 20%. El resto del escenario es idéntico al escenario de estafa del vendedor".
La divulgación se produce cuando Check Point detalló una estafa que logró robar casi $ 1 millón al atraer a víctimas desprevenidas para que invirtieran en tokens falsos y ejecutaran transacciones simuladas para crear un barniz de legitimidad.
"Una vez que el token atrajo lo suficiente a los inversores, el estafador ejecutó el movimiento final: retirar liquidez del fondo de tokens, dejando a los compradores de tokens con las manos vacías y los fondos agotados", dijo la compañía.
