Darcula: servizio di phishing per RCS e iMessage

I ricercatori di Netcraft hanno individuato un nuovo PhaaS (Phishing-as-a-Service), denominato Darcula, che usa oltre 20.000 domini di phishing associati a noti brand. A differenza di altre simili soluzioni, la piattaforma sfrutta i messaggi RCS e iMessage per colpire gli utenti Android e iOS.

Darcula aggira i filtri SMS

Darcula è un servizio offerto ai cybercriminali che devono effettuare attacchi di phishing. Invece di PHP, gli sviluppatori usano tecnologie più moderne, come JavaScript, React, Docker e Harbor. Un’altra differenza rispetto alle soluzioni tradizionali è l’uso del protocollo RCS (Rich Communication Services) e di iMessage, invece degli SMS. Ciò permette di aggirare i filtri/firewall degli operatori telefonici.

Il kit di phishing offre oltre 200 template per impersonare i siti di noti brand e organizzazioni di oltre 100 paesi. Le pagine web sono di elevata qualità e in diverse lingue, quindi possono ingannare facilmente gli utenti che ricevono i messaggi. I principali target sono le aziende che offrono servizi postali.

Gli esperti di Netcraft hanno individuato oltre 20.000 domini attraverso 11.000 indirizzi IP. Quando l’ignaro utente clicca/tocca il link nel messaggio viene portato sul sito di phishing e le credenziali di login finiscono nelle mani dei cybercriminali. Sia RCS che iMessage supportano la crittografia end-to-end, quindi i messaggi non possono essere bloccati dagli operatori telefonici.

Il filtraggio è affidato interamente a Google e Apple. Google impedisce di inviare e ricevere messaggi RCS con smartphone rooted. Apple mostra l’URL cliccabile solo se il destinatario risponde al messaggio. Darcula permette di creare messaggi per chiedere all’utente di rispondere con un sì per attivare il link.