[ザック先生会] フィッシング詐欺と如何に戦い、そして如何にして勝つか

ザック先生会 (2019/10/01)

@ozuma5119
ozuma5119@gmail.com
https://ozuma.hatenablog.jp/

Transcript

1. フィッシング詐欺と 如何に戦い、 そして如何にして勝つか ザック先生会 (2019/10/01) @ozuma5119 ozuma5119@gmail.com https://ozuma.hatenablog.jp/ 1 すみだセキュリティ勉強会 主催
2. Ecosystem 2 Phisher (Actor) PhishKit Creator PhishKit (zip) ① ② deploy Spammer ③ template Victim Botnet ④ template set & go! ⑤ ⑥ credential Info Phishing Site
3. 3 Warming-Up time: Let's Play with PhishKit.
4. Microsoft - login.live.com with e-mail type 4 https://mkoloss.cf/of/of/ab/index.php?email=test@example.com
5. 5 https://mkoloss.cf/of/of/ab/ index.php?email=️‍ ♀️@❓.com
6. 6 https://mkoloss.cf/of/of/ab/ index.php?email=<script>alert("XSS");</script>
7. 7 最近の動向: Roaming Mantis Campaign
8. "偽佐川急便" 8 • 2種のMalware • MoqHao/XLoader • FakeSpy SMS Phishing Site Android Malware
9. 9 Really dangerous....
10. 10 Contacts Info (Tel No.) Installed App Info
11. "偽佐川" - 誰かが誰かにSmishing 11 compromised Androids Actorは (1)アドレス帳など各種情報を盗み取り (2)SMSの送受信、盗聴が無料で可能 Background App command Contacts Info (Tel No.) "Send SMS!" Phishing SMS Command & Control Server (C&C, C2) ??
12. How to analyze .apk 1. apk is zipfile: just extract. 2. convert dex to jar with dex2jar • AndroidはDalvik VM/Android Runtime(ART)。フツーの Java Hotspot VMとは違う 3. jarをJD-GUI/jadx等で逆コンパイル 4. 楽しい！ 12
13. MoqHaoを軽く見る - junk classes.dex 13
14. stringsだけでも結構行ける 14 • SNS, blog等が1st C2 • 1st C2から 2nd C2へ • 暗号化／難読化 • Base64 Encode • DES/CBC
15. Analysis of Android app. •unzip, dex2jar, jadx, JD-GUI •aapt/aapt2 - AndroidStudio tool. •Andro Guard • 良いらしい（使ったこと無い…) •AndroidKiller • 中国のエンジニアに チャットで教えて もらった • 百度アカウントが無いと downloadできない ので試してないが…… 良いらしい 15
16. 16 PhishKit
17. 無造作に拾えることが多い #opendir 17
18. Many PhishKits are simpler than you think. 18 PhishKit
19. Antibot System - IP, IP, IP! 19 Googlebotなど検索クローラや、セキュリティベンダを 避けていることが多い
20. 20 こんなコード で大丈夫か?? 犯人のaddress
21. Protestation •それは本当にPhisherのメールアドレスか？ Zipを展開してからサーバ上で書き換えているの では？ ↓↓↓ 大量のPhishKitを集めました。 状況証拠から、そのような事例は少ないと見て います。 21
22. （非公開） • （非公開） 22
23. （非公開） • （非公開） 23
24. Possibility 24 Phishing Site of ProtonMail
25. File timestamp 25 Phishing Site was created: 2nd Jun. 2019
26. 26 PhishKit - Deep Insight
27. 27 Phisher PhishKit Creator
28. もうひとひねり 28
29. 29 Kill Punish Phisher! (Under the Law)
30. Phishing of PayPal Japan 30
31. In the PhishKit... ZOHO Account! 31
33. Abuse 33 通報 通報 通報 通報 通報 通報
34. Victoryyyyyyyyyyyy!! 34
35. Abuse Type •To: Registrar •Abuse Contact (Registrar MUST display e- mail, Defined by ICANN) • https://www.icann.org/resources/pages/abuse-2014-01- 29-en •To: Hosting, VPS, Cloud Server •IP Address => WHOIS => Tech-Contact or Admin-Contact 35
36. Abuse Sample: IP Address 1/2 36
37. Abuse Sample: IP Address 2/2 37
38. 38 Omake - funny Phishing Sites
39. Too Long URL 39
40. 雑すぎ 40
41. And more? 41 https://booth.pm/ja/items/1575413
42. Thanks to •Twitter • @ninoseki -san • @papa_anniekey -san • @NaomiSuzuki_ -san • @KesaGataMe0 -san • @ActorExpose -san • @dave_daves -san 42