Një fjali në dukje e parëndësishme, e shkruar në faqen e një banke të dyshimtë, çoi studiuesit e sigurisë kibernetike drejt një rrjeti prej rreth 2,200 domenesh. Pas faqeve që dukeshin si institucione financiare të zakonshme fshihej një mekanizëm shumë më i sofistikuar: banka të sajuara, të pajisura me faqe hyrjeje, llogari klientësh, transferta, investime dhe procedura verifikimi, të afta për t’i dhënë mashtrimit pamjen e një institucioni real.
Hetimi është publikuar nga Signal & Noise, rubrika mujore e Ryan Merritt, drejtor i kërkimit të sigurisë në Allure Security.
Gjithçka nisi nga shprehja “one of the largest digital banking providers” – “një nga ofruesit më të mëdhenj të shërbimeve bankare digjitale”. Formulimi i pazakontë tërhoqi vëmendjen e Molly DeQuattro, zëvendëspresidente e operacioneve në Allure Security, ndërsa po shqyrtonte një domen të dyshimtë.
Një kërkim i kësaj fjalie në kodin burimor të faqeve publike dha një rezultat befasues: afërsisht 2,200 domene. Ajo që dukej fillimisht si një rast i izoluar u shndërrua në një hetim për një ekosistem të tërë institucionesh financiare fantazmë.
Studiuesit tentuan të lidhen me të 2,200 domenet. Prej tyre, 1,095 ishin aktive në momentin e kontrollit, ndërsa 838 vazhdonin të përmbanin pikërisht frazën që kishte nisur hetimin. Analiza tregoi se 810 prej këtyre faqeve, ose 97%, ruanin elemente të një modeli të quajtur Cuex, një shabllon komercial për faqe këmbimi valutor, transfertash parash, kredish dhe shërbimesh bankare digjitale, i cili kushtonte vetëm 25 dollarë.
Por shablloni prej 25 dollarësh ishte vetëm fasada.
Shumica e faqeve kishin pas saj një aplikacion funksional: 770 kishin faqe hyrjeje në llogari, 767 përdornin cookies për sesionet dhe 729 përmbanin mekanizma sigurie të lidhur me formularët. Në një prej rasteve, kodi publik zbuloi 59 funksione të programuara, mes tyre kërkim dhe administrim klientësh, verifikim KYC, menaxhim transaksionesh, karta dhe portofole, depozita, transferta, kode PIN dhe OTP, regjistrim dhe verifikim llogarie. Studiuesit theksojnë se nuk testuan nëse të gjitha këto funksione ishin realisht operative.
Kjo është pikërisht ajo që e bën skemën kaq bindëse. Viktima mund të afrohet fillimisht nga dikush që paraqitet si ndërmjetës investimesh, partner romantik, agjent kredie apo shërbim për rikuperimin e parave. Më pas drejtohet te një “bankë” që nuk e njeh, por që në ekran duket reale.
Aty mund të shohë një llogari, një bilanc, fitime të supozuara nga investimet, transferta apo para që figurojnë të bllokuara. Pastaj fillojnë kërkesat: duhet një verifikim tjetër, një taksë, një tarifë për pajtueshmërinë, një pagesë për zhbllokimin ose tërheqjen e fondeve.
Allure Security e quan këtë mekanizëm “legitimacy stacking” – grumbullim shtresash legjitimiteti. Pamja bankare, produktet e investimit, identiteti i një kompanie, pretendimet për licenca apo sigurim dhe kanalet e shërbimit ndaj klientit ndërtohen njëra mbi tjetrën derisa institucioni i sajuar fillon të duket i vërtetë.
Një gabim i autorëve tregoi edhe më qartë mënyrën se si këto “banka” kopjoheshin dhe ricikloheshin.
Një faqe që prezantohej si Classtands Crest kishte në faqen e hapjes së llogarisë ende titullin “Create an Account – Remedy bank”. Në kod kishin mbetur emri dhe elemente të “Remedy”, ndërsa formulari ishte konfiguruar që të dërgonte të dhënat e regjistrimit në një domen tjetër. Formulari kërkonte ndër të tjera të dhëna identiteti dhe kontakti, llojin e llogarisë, PIN-in dhe fjalëkalimin. Studiuesit nuk plotësuan dhe nuk dërguan të dhëna, por kodi tregonte destinacionin ku formulari ishte projektuar t’i dërgonte ato.
Kontrollet në regjistrat publikë nxorën të tjera anomali. Një “bankë” përdorte një numër kompanie britanike që në fakt i përkiste një shoqërie tjetër, të shpërbërë që në vitin 2012. Një numër telefoni shfaqej në dhjetë faqe të ndryshme aktive, ndërsa 12 faqe pretendonin se kishin mbrojtje nga FDIC, institucioni amerikan që siguron depozitat bankare. Asnjë prej domeneve nuk rezultoi në bazën zyrtare BankFind të FDIC.
Studiuesit janë megjithatë të kujdesshëm me përfundimet. Ngjashmëritë teknike nuk provojnë se të 2,200 domenet kontrolloheshin nga i njëjti person apo grup. Kodi mund të jetë shpërndarë nga një zhvillues i përbashkët, një shitës paketash aplikacionesh, operatorë të ndryshëm ose një kombinim i tyre. Ajo që provon analiza është ekzistenca e një familjeje të përbashkët teknologjike dhe një ekosistemi të prodhuar në masë të financës fantazmë, jo identiteti i një autori të vetëm.
Dhe pikërisht kjo ёshtё pjesa më shqetësuese e zbulimit: sot nuk nevojiten godina, sportele apo miliona euro për të krijuar pamjen e një banke. Me një shabllon të lirë, një domen, një aplikacion të ripërdorshëm dhe disa shtresa të menduara mirë besueshmërie, mund të ndërtohet një institucion financiar që ekziston vetëm në ekran – por që për viktimën mund të duket mjaftueshëm real sa për t’i besuar paratë, dokumentet dhe të dhënat personale.
Burimi: Allure Security
