Operace vedená INTERPOLEM minulý měsíc vedla k rozbití platformy Sniper Dz, dlouhodobě fungující služby typu phishing-as-a-service (PhaaS). Informaci ve čtvrtek potvrdila společnost Group-IB, která se na vyšetřování podílela.
Akce s krycím názvem Operace Ramz probíhala mezi říjnem 2025 a únorem 2026 a zapojily se do ní úřady ze třinácti zemí oblasti Blízkého východu a severní Afriky. Výsledkem bylo 201 zadržených osob.
Kdo stál za platformou
Mezi zadrženými byl i uživatel vystupující pod přezdívkou Guedz, hlavní vývojář a administrátor Sniper Dz, službou, která za dobu své existence shromáždila více než 45 000 záznamů o obětech. Zadržení provedla alžírská národní policie. Platforma se v průběhu let několikrát přejmenovala – vystupovala také jako Joker Dz, Storm Dz nebo Spam Dz.
V rámci Operace Ramz byl vyřazen z provozu samotný web, který ostatním kyberzločincům nabízel přístup k phishingovým nástrojům, a bezpečnostní složky zabavily i hardware obsahující phishingový software a skripty.
Společnost se sídlem v Singapuru popisuje vývoj platformy tak, že Sniper Dz, aktivní přinejmenším od roku 2015, se postupně proměnila v sofistikovanou kriminální platformu nabízející ostatním kyberzločincům hotové phishingové sady, hostingovou infrastrukturu i provozní podporu.
V letech od svého vzniku byla infrastruktura propojena s více než dvaceti tisíci unikátními doménami a zaměřovala se na třicet velkých globálních značek, mezi nimi PayPal, Facebook, Instagram, Yahoo, Netflix nebo Steam. Útočníci při tom využívali osmdesát phishingových šablon dostupných v pěti jazycích, včetně arabštiny, angličtiny, francouzštiny, španělštiny a hebrejštiny.
Kampaně využívající Sniper Dz cílily na uživatele technologických, sociálních a streamovacích platforem v řadě regionů tím, že napodobovaly důvěryhodné značky a vládní instituce prostřednictvím přesvědčivě napodobených webových stránek, jejichž cílem bylo získat přihlašovací údaje, osobní informace a další citlivá data.
Zneužití veřejných osobností a obchodní model zdarma
Útočníci ovšem nezůstali jen u krádeže přihlašovacích údajů. Podle Group-IB platforma zároveň stavěla na technikách sociálního inženýrství, které těžily z popularity a důvěryhodnosti veřejně známých osobností z oblasti Blízkého východu a severní Afriky. Aktéři vytvářeli falešné účty na sociálních sítích vydávající se za známé politické osobnosti a používali je k šíření phishingových odkazů zamaskovaných jako propagační nabídky nebo bezplatný přístup k internetu.
Platformou se již dříve, v říjnu 2024, podrobně zabýval tým Unit 42 společnosti Palo Alto Networks, který popsal využívání telegramového kanálu s více než 7 300 odběrateli, sloužícího k šíření návodných videí, i možnost hostovat phishingové stránky na vlastní infrastruktuře skryté za proxy serverem.
Tím, co Sniper Dz odlišovalo od konkurenčních PhaaS služeb, byla skutečnost, že svou celou infrastrukturu nabízela zdarma, což usnadňovalo i méně zkušeným útočníkům provádět rozsáhlé phishingové kampaně. Zisk si platforma místo toho zajišťovala jinak – přímo prostřednictvím krádeže přihlašovacích údajů a směrování návštěvnosti obětí.
Group-IB dále popsala, jak si platforma zajišťovala výdělek na dvou frontách: odcizené přihlašovací údaje šlo zpeněžit přímo, zatímco i uživatele, kteří je nakonec neposkytli, bylo možné přesměrovat k dalším podvodným schématům – od neoprávněného vyúčtování u mobilních operátorů a prémiových SMS služeb přes zneužívání push notifikací v prohlížeči až po různé affiliate podvodné kampaně.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
