Une opération sophistiquée d’escroquerie en tant que service appelée Classiscam s’est maintenant infiltré à Singapour, plus d’un an et demi après expansion vers l’Europe.

« Les escrocs se faisant passer pour des acheteurs légitimes approchent les vendeurs avec la demande d’acheter des biens de leurs listes et le but ultime de voler les données de paiement », Group-IB a dit dans un rapport partagé avec The Hacker News.

La société de cybersécurité a qualifié les opérateurs de « réseau criminel d’escrocs bien coordonné et technologiquement avancé ».

Classiscam fait référence à un Opération de cybercriminalité basée en Russie qui a été enregistré pour la première fois à l’été 2019, mais n’a été mis en lumière qu’un an plus tard, coïncidant avec une augmentation de l’activité due à une augmentation des achats en ligne à la suite de l’épidémie de COVID-19.

Appelé le stratagème de fraude le plus utilisé pendant la pandémie, Classiscam cible les personnes qui utilisent les places de marché et les services liés à la location de propriétés, aux réservations d’hôtels, aux virements bancaires en ligne, à la vente au détail en ligne, au covoiturage et à la livraison de colis.

Les cibles initiales comprenaient les utilisateurs de petites annonces et de marchés russes populaires, avant de migrer vers l’Europe et les États-Unis. L’Ukraine, les États-Unis et l’Ouzbékistan.

L’opération frauduleuse s’étend à 64 pays d’Europe, de la Communauté des États indépendants (CEI) et du Moyen-Orient, avec 169 marques utilisées pour mener les attaques. D’avril 2020 à février 2022, les criminels utilisant Classiscam auraient réalisé au moins 29,5 millions de dollars de profits illicites.

Ce qui est remarquable dans cette campagne, c’est sa forte dépendance aux robots et aux chats Telegram pour coordonner les opérations et créer des pages de phishing et d’escroquerie.

Voici le cœur de la façon dont tout cela fonctionne : les escrocs publient des annonces d’appâts sur des marchés populaires et des sites Web classés, proposant généralement des consoles de jeux, des ordinateurs portables et des smartphones à vendre à des rabais importants.

Lorsqu’une victime potentielle contacte le vendeur (c’est-à-dire l’acteur de la menace) via la vitrine en ligne, l’opérateur Classiscam trompe la cible pour qu’elle poursuive le chat sur un service de messagerie tiers comme WhatsApp ou Viber avant d’envoyer un lien vers une page de paiement voyou à terminer la transaction.

Le schéma implique une hiérarchie d’administrateurs, de travailleurs et d’appelants. Alors que les administrateurs sont chargés de recruter de nouveaux membres, d’automatiser la création de pages frauduleuses et d’enregistrer de nouveaux comptes, ce sont les travailleurs qui créent des comptes sur les sites Web de petites annonces gratuites et placent les publicités leurres.

Les travailleurs, qui reçoivent 70 à 80% des sommes volées, sont également chargés de communiquer avec les victimes via les systèmes de chat de la plateforme et d’envoyer des liens de phishing conçus pour effectuer des paiements pour les biens achetés.

« Les travailleurs sont des participants clés du système d’escroquerie Classiscam : leur objectif est d’attirer du trafic vers des ressources de phishing », ont déclaré les chercheurs.

Les URL de phishing, quant à elles, sont générées via des bots Telegram qui imitent les pages de paiement des sites Web classés locaux mais sont hébergées sur des domaines similaires. Cela nécessite cependant que les travailleurs envoient le lien avec le produit appât au bot.

« Après un premier contact avec le vendeur légitime, les escrocs génèrent un lien de phishing unique qui confond les vendeurs en affichant les informations sur l’offre du vendeur et en imitant le site Web et l’URL de la petite annonce officielle », ont déclaré les chercheurs. « Les escrocs prétendent que le paiement a été effectué et incitent la victime à effectuer un paiement pour la livraison ou à percevoir le paiement. »

Les pages de phishing incluent également une option permettant de vérifier le solde du compte bancaire de la victime dans le but d’identifier les cartes les plus « précieuses ».

De plus, certains cas intègrent une tentative de tromper les victimes une deuxième fois en les appelant pour demander un remboursement afin de récupérer leur argent. Ces appels sont passés par des assistants qui se font passer pour des spécialistes du support technique de la plate-forme.

Dans ce scénario, les cibles sont redirigées vers une page de paiement frauduleuse pour saisir les détails de leur carte et la confirmer en fournissant un mot de passe reçu par SMS. Mais au lieu d’un remboursement, le même montant est à nouveau débité de la carte de la victime.

Bien que le modus operandi susmentionné soit un exemple d’escroquerie du vendeur, dans lequel un acheteur (c’est-à-dire une victime) reçoit un lien de paiement par hameçonnage et est escroqué de son argent, il existe également des escroqueries à l’acheteur.

Cela implique qu’un fraudeur contacte un vendeur légitime sous le couvert d’un client et envoie un faux formulaire de paiement généré par un bot en se faisant passer pour un marché prétendument à des fins de vérification. Mais une fois que le vendeur a entré ses informations de carte bancaire, un montant équivalent au coût du produit est déduit de son compte.

L’ensemble de l’infrastructure d’attaque exploitée par Classiscammers comprend 200 domaines, dont 18 ont été créés pour tromper les utilisateurs d’un site Web classé singapourien sans nom. D’autres sites du réseau se présentent comme des sociétés de déménagement singapouriennes, des sites Web classés européens, asiatiques et du Moyen-Orient, des banques, des marchés, des marques alimentaires et cryptographiques et des sociétés de livraison.

« À première vue, Classiscam est beaucoup plus complexe à combattre que les types d’escroqueries conventionnels », a déclaré Ilia Rozhnov de Group-IB. « Contrairement aux escroqueries classiques, Classiscam est entièrement automatisé et pourrait être largement diffusé. Les escrocs pourraient créer une liste inépuisable de liens à la volée. »

« Pour compliquer la détection et le retrait, la page d’accueil des domaines voyous redirige toujours vers le site officiel d’une plateforme locale de petites annonces. »