Phishing: ฟรีรองเท้ากับค่าสมัครสมาชิก $50/เดือนแบบงงๆ

แบรนด์ Adidas ถูกอาชญากรไซเบอร์ใช้เป็นเหยื่อล่อให้ผู้ใช้มาติดกับ ในช่วงต้นปี 2018 ผู้ใช้ WhatsApp บางรายได้รับข้อเสนอที่น่าสนใจเกี่ยวกับรองเท้ากีฬาแบรนด์หนึ่ง

ในข้อความนี้ถอดใจความได้ง่ายๆว่า ทาง Adidas แจกรองเท้าจำนวน 2,500 คู่ เนื่องในโอกาสครบรอบ 69 ปีของ Adidas และแนบลิงก์มาให้สำหรับเข้าร่วมโครงการ แต่ความเป็นจริงหาได้เป็นเช่นนั้นไม่ ถ้าคุณเป็นคนช่างสังเกตุคุณจะเห็นว่าตัวอักษร “i” ในลิงก์ที่แนบมาผิดปกติ นี่เป็นเทคนิคที่เรียกว่า Homoglyph หรือการใช้สัญลักษณ์ที่ใกล้เคียงตัวอักษรเพื่อหลอกตาผู้ใช้

การวิเคราะห์

เมื่อเราทดลองเข้าเว็บไซต์ตามที่แนบในลิงก์ โดยใช้สมาร์ทโฟนแล้วพบว่ามีการใช้โค้ด JavaScript สำหรับตรวจสอบคุณสมบัติและความกว้างของหน้าจอ หากไม่ผ่านผู้ใช้จะถูกพาไปยังลิงก์ http://neuewfarben%5B.%5Dcom/404 แล้วขึ้น 404 error

ในกรณีที่ผ่าน เว็บไซต์จะเก็บข้อมูลตำแหน่ง IP Address ของผู้ใช้ แล้วนำผู้ใช้ไปยังหน้าเว็บไซต์ที่เตรียมไว้ในแต่ละพื้นที่ ตามรูปด้านล่าง

หากผู้ใช้ไม่ได้อยู่ในกลุ่มประเทศตามภาพ แผนการทั้งหมดจะหยุดไว้ที่ตรงนี้

แต่เราขอบอกไว้ก่อนเลยว่าไม่ใช่เฉพาะ Adidas เท่านั้นที่ถูกแฮกเกอร์นำไปใช้ เพราะแบรนด์อื่นๆก็ถูกนำไปใช้เช่นเดียวกัน แค่แตกต่างไปตามผลิตภัณฑ์เท่านั้น

หลังจากผ่านแผนการแบ่งกลุ่มผู้ใช้แล้ว ผู้ใช้จะถูกนำมาที่หน้าทำแบบสอบถามให้ตอบคำถาม 4 ข้อ ซึ่งไม่ว่าจะตอบคำถามอย่างไรก็จะได้รับข้อความว่า “Qualified” เพื่อรับรองเท้าฟรี แต่ก็ยังคงต้องรับเงื่อนไชในการแชร์ให้เพื่อนๆด้วยเช่นกัน

เมื่อกดปุ่มแชร์ของ WhatsApp แล้วจะมีรายชื่อผู้ใช้ปรากฏขึ้นมา และสามารถเลือกผู้รับข้อเสนอได้อีก แต่ปุ่มแชร์ดังกล่าวสามารถกดกี่ครั้งก็ได้ เพราะแฮกเกอร์ไม่มีทางทราบได้เลยว่าเราแชร์จริงหรือไม่ หลังจากนั้นผู้ใช้จะถูกนำไปยังเว็บไซต์หนึ่งในรายชื่อต่อไปนี้:

• http://www.xn--addas-o4a%5B.%5Dde/final.html
• http://track.voltrrk%5B.%5Dcom/0e548085-58e7-40e1-beba-b8940d6a8edc
• http://redirect.dringston-enquency%5B.%5Dcom:80/redirect?target=BASE64aHR0cDovL3d3dy5wYWlyb2ZzY2h1aGUuY29tL2VuLmh0bWw&ts=1527005723770&hash=qcAp4Brw4y8SYgfUl1r_-pb4RQxIqqiFf6sLXB9OU4E&rm=D
• http://www.pairofschuhe%5B.%5Dcom/en.html

หากผู้ใช้ไม่ได้แชร์โฆษณานี้บนเฟสบุ๊ค พวกเขาจะยังสามารถจะรับรองเท้าได้ในราคาหนึ่งเหรียญสหรัฐฯ

เมื่อคลิกที่ “claim for 1$” ผู้ใช้จะถูกนำไปยังเว็บไซต์และด่านสุดท้ายของแผนการนี้:

• http://www.pairofschuhe%5B.%5Dcom/go
• http://track.voltrrk%5B.%5Dcom/c9d22249-b14d-4ddb-bc6c-59e43841cd0f
• http://redirect.dringston-enquency%5B.%5Dcom:80/redirect?target=BASE64aHR0cHM6Ly90cmNrci5yb2Nrcy8_YT0yMTQ5JmM9MTI4NjMmczI9d1NSNUpJTUY1VEQ0OVAzRTFSQUpIOU5B&ts=1527011060929&hash=-eeKnNtq6vinT3e8YR39UXs0Fzna-Cp4z2lTlLFhuJU&rm=D
• https://trckr%5B.%5Drocks/?a=2149&c=12863&s2=wSR5JIMF5TD49P3E1RAJH9NA
• https://redirector%5B.%5Dcc/go/5312?transaction_id=12750-197928458&pub_id=2149
• https://promoztooffer%5B.%5Dcom/86088686/86088686_lp?lp_rid=5312&lp_sid=31&lp_did=6&lp_aid=28&forceLang=EN&a_p=33&transaction_id=12750-197928458&pub_id=2149&te=1527011136

ในแบบฟอร์มสุดท้ายที่ถามข้อมูลของผู้ใช้ มีสิ่งผิดสังเกตอยู่ที่ข้อความด้านล่าง

เมื่อธุรกรรมเสร็จสิ้นคุณจะเป็นหนึ่งในสมาชิกของบริการ “organizejobs” ซึ่งมีค่าใช้จ่าย 49.99 เหรียญสหรัฐฯต่อเดือน ซึ่ง “free trial organizejobs[.]net” แต่ $50/เดือน ค่อนข้างขัดแย้งกัน

ในด้านล่างของเพจจะพบว่าธุรกรรมครั้งนี้ไม่ได้มีความเกี่ยวข้องกับ Adidas เลย เพราะธุรกรรมทั้งหมดจะไปที่ organizejobs[.]net

ท้ายที่สุดผู้ใช้ที่ตกเป็นเหยื่อเสียเงิน 1 เหรียญสหรัฐฯโดยไม่ได้เลือกรุ่นหรือเบอร์รองเท้า และกลางเป็นสมาชิกของบริการราคา $50/เดือน

คำแนะนำ

• หากได้รับข้อความให้สอบถามกับต้นทางว่าเป็นพวกเขาส่งมาให้จริงหรือไม่ เพราะการคลิกลิงก์แปลกๆอาจทำให้คุณตกเป็นเหยื่อของกลโกงโดยไม่รู้ตัว
• ค้นหาข้อเสนอเดียวกันในอินเตอร์เน็ต เพื่อทำให้มั่นใจได้ว่าแคมเปญจนืเหล่านั้นเป็นของจริง
• เข้าเว็บไซต์ของต้นสังกัด เพราะเว็บไซต์องค์กรส่วนมากจะเตรียมหน้าเว็บไซต์ให้สอดคล้องกับแคมเปญจน์เสมอ
• หากไม่แน่ใจอย่าคลิกลิงก์และลบข้อความ

Author: Romain Dumont
Source: https://www.welivesecurity.com/2018/06/14/phishing-anniversary-free-50-month-subscription/
Translated by: Worapon H.