YKelyan Posted August 12 Report Posted August 12 Studiu de caz: Operatiunea “DeepFake” Context In data de 7 august au fost retinuti in Chisinau 12 persoane intr-o ancheta desfasurata de autoritatile romane in colaborare cu cele din Republica Moldova. Cei 12 suspecti au fost arestati deoarece se considera ca ar fi inselat sute de romani si au obtinut un total estimat de 15 milioane de lei. Operațiunea a fost coordonată cu implicarea structurilor de drept din ambele țări, evidențiind colaborarea transfrontalieră în combaterea criminalității organizate și a noilor tipuri de infracțiuni care implică tehnologii avansate. Gruparea infractionala folosea tehnologia deepfake pentru a genera clipuri trucate cu personalitati mari din Romania in care acestia incurajau populatia sa investeasca in diferite escrocherii online. Despre gruparea “DeepFake” Conform cercetarilor mele, gruparea activeaza inca de la sfarsitul lui decembrie anul trecut(2023). Nu exista o data exacta insa pot estima undeva de la opt luni pana la un an de la momentul scrierii acestui studiu de caz. Gruparea are sedii fizice atat in Moldova cat si in Romania, de unde acestia apeleaza clientii. Conform moldova1.md “Persoanele reținute, cu vârste între 20 și 45 de ani, erau angajate de companii care implementau selecții riguroase, inclusiv teste de poligraf. Majoritatea bănuiților sunt tineri angajați în centre de apel, specialiști IT și agenți de vânzări, în timp ce alții aveau roluri de superiori sau administratori. Unele persoane și-au recunoscut vinovăția și cooperează cu autoritățile.” Din cateva apeluri purtate cu operatorii acestei grupari am inteles ca programul de lucru al angajatilor este de luni pana vineri. Majoritatea dintre acestia sunt oameni cu varste cuprinse intre 25-30 ani dar sunt si studenti cu o situatie financiara precara care nu stiu cu adevarat ce vand oamenilor. Cel mai probabil, acestia sunt recrutati de pe grupuri de Facebook si de pe platforme precum OLX. Cum functioneaza toata operatiunea Scam-ul incepe dindata ce utilizatorul de rand foloseste retele sociale precum: YouTube, Facebook, Instagram. Gruparea genereaza reclame de pe mai multe pagini de Facebook, Instagram chiar si YouTube. Din cercetarile mele, grupul foloseste persoane cunoscute din Romania pentru a ajunge mai usor la public, printre care regasim: Andreea Esca, Mugur Isarescu, Florin Zamfirescu, Ion Tiriac, Iancu Guda ruleaza mai multe scenarii, dar in acest document o sa investigam modul de operare a scenariului BRUA. Personal, am dat de reclama pe YouTube, unde Denise Rifai, prezentatoarea emisiunii “40 de intrebari” vorbea cu Florin Zamfirescu unde acesta afirma ca reuseste sa faca zeci de mii de lei prin intermediul investitiilor in BRUA. BRUA există, dar nu ca fond de investiții ci este magistrala de GAZ dintre Bulgaria-România-Ungaria-Austria și găsim informații pe site-urile oficiale ale statului. Utilizatorul care acceseaza pagina din reclama este redirectionat pe un domeniu unde site-ul rfi.fr/ro este clonat 1:1. Pe site este prezentat un articol unde se prezinta o conversatie intre Denise Rifai si invitatul Florin Zamfirescu. De exemplu, doua dintre domeniile folosite sunt dixycaa.com si fuwakumarofe.life La sfarsitul articolului se regaseste un link de redirect pentru a completa un formular cu: nume, mail si numar de telefon. Odata completat, un operator urmeaza sa se sune victima. Conversatia urmeaza intotdeauna acelasi curs, daca cumva clientul deraiaza cu o intrebare care nu este anticipata, operatorul ramane blocat, deseori oprind microfonul(probabil pentru a intreba colegii din incapere ce sa raspunda). Tonul este unul prietenos, operatorul este instruit sa se adapteze oricarui tip de comportament social. De asemenea, acesta este foarte sociabil, aproape ca un prieten(dar care vrea sa-ti fure banii). Dupa ce victima este convinsa si se stabileste o relatie de incredere minima, operatorul trimite pe WhatsApp un link catre un site web fals, care arata identic cu site-ul legitim din care iti poti retrage “câștigurile”. Dar, nu inainte sa efectuezi un transfer prin IBAN de minim 1250 RON pentru a-ti incepe ‘’investitia’’. Convorbirea se deruleaza astfel: Prezentarea operatorului si a firmei Intrebari precum: varsta, locul de munca, surse de venit, cetatenie, banca, buget Explicarea procesului Trimiterea unui mesaj pe WhatsApp cu link catre o platforma clonata la fel, 1:1 Generarea unui cont pe platforma respectiva si trimiterea acestuia prin WhatsApp Castigarea increderii Si desigur, plata prin card catre contul trimis prin WhatsApp Desi operatorii sunt instruiti sa fie prietenosi si sociabili, am observat ca se enerveaza foarte tare cand nu esti in stare sa scrii codul IBAN corect pentru a face plata, chiar nu inteleg de ce. Manipularea psihologica Tot procesul este unul amplu si bine gandit, textul de pe site-ul web fiind unul bine gandit cu scopul de a manipula oamenii. Putem observa in imaginea de mai jos cum se creeaza scenariul perfect pentru un atac de tip phishing. Gruparea incearca sa distraga omul prin creearea senzatiei de a rata oportunitatea vietii. De asemenea, in sectiunea falsa de comentarii, putem observa recenziile. Aceasta tehnica este folosita frecvent in campaniile de inselatorie, unde victimele sunt atrase prin recenzii false si promisiuni de castiguri rapide. Odata ce utilizatorii sunt convinsi de veridicitatea comentariilor, acestia devin tiinte sigure. Efectul de validare sociala joaca un rol crucial in acest proces. Comentariile pozitive creeaza o iluzie de incredere ceea ce ii face pe utilizatori mai predispusi sa pice in plasa escrocilor. Cum manipuleaza oamenii Odata furnizate datele pe domeniile fantoma, oamenii sunt sunati de catre un operator. Operatorii, conform recorder.ro aveau script-uri gata pregatite pentru a raspunde victimelor cu raspunsuri predefinite. Putem observa clar cum operatorii au raspunsurile pregatite pentru cele mai comune intrebari si raspunsuri date de clienti. Asta denota ca gruparea este una profesionista si bine pregatita, nu doar un simplu grup de oameni fara cunostinte. Dupa captarea atenției și câștigarea încrederii, acesta urmeaza sa introducă date precum: numele, email-ul si numarul de telefon. Astfel, la scurt timp dupa (maximum 24 ore, potrivit site-ului), o persoana implicata in gruparea infracțională te va suna sa te convinga de legitimitatea investiției si garantarea unui profit intr-un timp foarte scurt. Anonimizarea operatiunii Fiind o grupare infractionala bine organizata, acestia si-au luat masurile necesare pentru a-si asigura procesul de anonimizare minim. Regasim urmatoarele tehnici folosite. Anonimizarea datelor din registrele domeniilor ICANN care este o organizație non-profit responsabila pentru coordonarea și mentinerea stabilitatii si securitatii sistemului global de adrese IP si nume de domenii pe internet care este supusa in mod direct legii GDPR care protejeaza datele personale. Domeniile folosite de atacatori sunt cumparate de la namecheap, un comerciant care dupa implementarea GDPR in 2018 a creat serviciul withheldforprivacy, un serviciu menit sa mascheze datele reale ale detinatinatorului unui domeniu cu date generice. Asadar, informatii precum: nume, numar de telefon, adresa, mail sunt toate inlocuite cu unele generice. Numere spoofed Gruparea foloseste numere spoofed, adica atunci cand esti apelat de catre operator, numarul original este afisat ca fiind altul. Nu mare mi-a fost mirarea cand sunam inapoi la numarul operatorului, imi raspundeau persoane care nu aveau nici-o legatura cu operatiunea aceasta. Reclame non-stop Deoarece acestia stiau ca platformele mentionate vor depista rapid reclamele inselatoare, acestia generau sute de conturi si domenii dupa care promovau videoclipurile care utilizau deepfake incontinuu avand ca target de audienta persoane din Romania cu varste cuprinse intre 30-60 ani. Ce urmeaza? In urma convorbirilor si a pretextului ca vreau sa investesc, am reusit sa obtin de la un operator IBAN-ul contului in care urma sa virez suma(spoiler alert: n-am facut-o) Deoarece consider ca IBAN-ul este defapt a unei persoane pacalite la randul ei, nu am sa divulg IBAN-ul in mediul public. Parerea mea este ca grupul infractional nu a fost constituit doar din cele 12 persoane prinse si ca aceasta urmeaza sa isi desfasoarea activitatea in continuare. Am sa urmaresc in continuare acest caz iar daca alte date relevante apar am sa continui cu acest studiu. 1 1 5 Quote
Noriega Posted August 13 Report Posted August 13 Un prieten a facut in primavara prostia sa le dea numarul unora ca astia pentru a fi contactat pentru investitii in Hidroelectrica. Cand a vorbit cu ei la telefon si-a dat seama ca e teapa si i-a luat la pula. De atunci din primavara si pana acum inca il mai suna pe prietenul meu o data la cateva saptamani sa isi bata pula de el. Amuzanti si perseverenti moldovenii, ce sa zic Quote
englishorspanish Posted August 13 Report Posted August 13 (edited) 5 hours ago, Noriega said: Un prieten a facut in primavara prostia sa le dea numarul unora ca astia pentru a fi contactat pentru investitii in Hidroelectrica. Cand a vorbit cu ei la telefon si-a dat seama ca e teapa si i-a luat la pula. De atunci din primavara si pana acum inca il mai suna pe prietenul meu o data la cateva saptamani sa isi bata pula de el. Amuzanti si perseverenti moldovenii, ce sa zic Dada, am auzit si de scenariul cu hidroelectrica, tot de ei facut;) Pe mine nu cred ca o sa ma mai sune veci dupa ce spaima am bagat in ei. A fost fun n-am ce sa zic, merita incercat ca si exercitiu sa vedeti ce date puteti obtine de la ei si cat puteti sa va bateti pl de ei. yk Edited August 13 by englishorspanish Quote
UnixDevel Posted August 13 Report Posted August 13 man , da haide sa le cautam pbx-ul si sa il dam peste cap 1 Quote
englishorspanish Posted August 13 Report Posted August 13 (edited) 3 hours ago, UnixDevel said: man , da haide sa le cautam pbx-ul si sa il dam peste cap Sounds like a good mission to me. “Klanul interlop RST vs Klanul moldovenilor tepari” yk Edited August 13 by englishorspanish Quote
