Фишинговая платформа Darcula ответственна за хищение 884 000 банковских карт, и жертвы хакеров по всему миру 13 млн раз перешли по вредоносным ссылкам, полученным через текстовые сообщения.
Такую статистику приводят аналитики NRK, Bayerischer Rundfunk, Le Monde и Mnemonic, в совместном отчете. Исследователям удалось выявить более 600 операторов Darcula, а также создателя и основного распространителя услуг платформы.
Darcula представляет собой PhaaS-платформу (phishing-as-a-service, «фишинг-как-услуга»), которая нацелена на пользователей Android и iPhone более чем в 100 странах мира. Криминальный сервис использует 20 000 доменов, имитирующих известные бренды, с целью кражи учетных данных.
Фишинговые сообщения, которые рассылают операторы платформы, как правило, представляют собой поддельные штрафы или уведомления о доставке посылок, содержащие ссылки на фишинговые сайты.
В феврале 2025 года те же исследователи , что Darcula претерпела значительные изменения и теперь позволяет своим операторам автоматически генерировать фишинговые наборы для атак на любой бренд. А в апреле текущего года , что фишинговый сервис начал использовать ИИ, и с помощью LLM-инструментов хакеры могут создавать собственные кампании на любом языке и на любую тему.
Проведенное теперь компании Mnemonic включало в себя реверс-инжиниринг фишинговой инфраструктуры Darcula и привело к обнаружению мощного инструментария под названием Magic Cat, который лежит в основе фишинговой платформы.
Также исследователи проникли в Telegram-группу, связанную с Darcula, и обнаружили там фотографии SIM-ферм, модемов и свидетельства роскошного образа жизни, который ведут операторы сервиса.
Благодаря OSINT и пассивному анализу DNS, аналитики проследили цифровой след платформы и обнаружили некоего гражданина Китая и его аккаунт разработчика на GitHub. Считается, что именно этот человек может стоять за созданием Darcula.
В свою очередь NRK , что этот человек — 24-летний житель китайского города Хэнань, и он связан с компанией, которая разрабатывает упомянутый выше Magic Cat. При этом представители компании сообщили, что этот человек уже у них не работает, а также заявили о своей непричастности к какому-либо мошенничеству, утверждая, что продают исключительно «программное обеспечение для создания сайтов».
NRK отмечает, что в итоге в компании признали, что Magic Cat используется для фишинга, и даже заявили, что отключат его, однако вскоре была выпущена новая версия инструмента.
Операторы Darcula используют закрытые группы в Telegram, за которыми специалисты NRK наблюдали больше года. В большинстве таких чатов общаются на китайском языке и используют SIM-фермы и различные аппаратные решения для массовой рассылки текстовых сообщений и последующей обработки украденных карт.
В отчете NRK отдельно рассказывается об операторах Darcula, генерирующих большие объемы вредоносного трафика. К примеру, высокое положение в иерархии, связанной с сервисом, занимает пользователь из Таиланда под ником x66/Kris.
Исследователи подчеркивают, что уже передали всю собранную информацию правоохранительным органам.
Такую статистику приводят аналитики NRK, Bayerischer Rundfunk, Le Monde и Mnemonic, в совместном отчете. Исследователям удалось выявить более 600 операторов Darcula, а также создателя и основного распространителя услуг платформы.
Darcula представляет собой PhaaS-платформу (phishing-as-a-service, «фишинг-как-услуга»), которая нацелена на пользователей Android и iPhone более чем в 100 странах мира. Криминальный сервис использует 20 000 доменов, имитирующих известные бренды, с целью кражи учетных данных.
Фишинговые сообщения, которые рассылают операторы платформы, как правило, представляют собой поддельные штрафы или уведомления о доставке посылок, содержащие ссылки на фишинговые сайты.
В феврале 2025 года те же исследователи , что Darcula претерпела значительные изменения и теперь позволяет своим операторам автоматически генерировать фишинговые наборы для атак на любой бренд. А в апреле текущего года , что фишинговый сервис начал использовать ИИ, и с помощью LLM-инструментов хакеры могут создавать собственные кампании на любом языке и на любую тему.
Проведенное теперь компании Mnemonic включало в себя реверс-инжиниринг фишинговой инфраструктуры Darcula и привело к обнаружению мощного инструментария под названием Magic Cat, который лежит в основе фишинговой платформы.
Также исследователи проникли в Telegram-группу, связанную с Darcula, и обнаружили там фотографии SIM-ферм, модемов и свидетельства роскошного образа жизни, который ведут операторы сервиса.
Благодаря OSINT и пассивному анализу DNS, аналитики проследили цифровой след платформы и обнаружили некоего гражданина Китая и его аккаунт разработчика на GitHub. Считается, что именно этот человек может стоять за созданием Darcula.
В свою очередь NRK , что этот человек — 24-летний житель китайского города Хэнань, и он связан с компанией, которая разрабатывает упомянутый выше Magic Cat. При этом представители компании сообщили, что этот человек уже у них не работает, а также заявили о своей непричастности к какому-либо мошенничеству, утверждая, что продают исключительно «программное обеспечение для создания сайтов».
NRK отмечает, что в итоге в компании признали, что Magic Cat используется для фишинга, и даже заявили, что отключат его, однако вскоре была выпущена новая версия инструмента.
Операторы Darcula используют закрытые группы в Telegram, за которыми специалисты NRK наблюдали больше года. В большинстве таких чатов общаются на китайском языке и используют SIM-фермы и различные аппаратные решения для массовой рассылки текстовых сообщений и последующей обработки украденных карт.
В отчете NRK отдельно рассказывается об операторах Darcula, генерирующих большие объемы вредоносного трафика. К примеру, высокое положение в иерархии, связанной с сервисом, занимает пользователь из Таиланда под ником x66/Kris.
Исследователи подчеркивают, что уже передали всю собранную информацию правоохранительным органам.
