Сложная фишинговая операция нацелена на людей, чьи iPhone были потеряны или украдлены, используя автоматические письма, сообщения и телефонные звонки, сгенерированные ИИ, чтобы получить необходимые учетные данные для разблокировки устройств.
Researchers at SOCRadar определил платформу как AnonyMousKIT, описав её как операцию фишинга как услуги, созданную специально для автоматизации атак через несколько каналов связи. Вместо того чтобы полагаться на одно фишинговое сообщение, клиенты сервиса могут неоднократно обращаться к одной и той же жертве через электронную почту, SMS, WhatsApp, заранее записанные звонки и голосовые агенты ИИ.
Цель — получить пароль для iPhone, код двухфакторной аутентификации или другую информацию, которая поможет преступникам преодолеть защиту Apple и упростить перепродажу угнанного устройства.
Злоумышленники сначала создают профиль украденного телефона, используя такую информацию, как его модель, соответствующий номер телефона и статус «Найти меня». Эти данные затем могут быть включены в персонализированные сообщения, делающие подход более убедительным.
Некоторые фишинговые сообщения, изученные исследователями, утверждали, что был обнаружен пропавший iPhone. Одно письмо сообщило получателю, что iPhone 15 Plus был обнаружен рядом с другим устройством Apple в Йоханнесбурге, и содержала кнопку, якобы позволяющую владельцу увидеть его местоположение. В другом сообщении утверждалось, что в интернете был найден потерянный iPhone 14.
Операция выходит за рамки письменных сообщений. SOCRadar восстановил записи, показывающие, что коммерческая технология разговорного ИИ использовалась для автоматических звонков при выдаче себя за сотрудников поддержки Apple.
Одна из ИИ-персон, называемая «Алиса», была настроена на сообщание жертвам о попытке снять Activation Lock с их устройства. Затем агент мог запросить четырёх- или шестизначный пароль телефона, запросить код 2FA и направить цель на фишинговый сайт.
Исследователи восстановили примерно 200 записей звонков с использованием ИИ, пять персональных ИИ и 55 расшифровок разговоров. Около 90% восстановленных звонков были нацелены на бразильские номера. Также были выявлены тысячи попыток WhatsApp, а исследователи насчитали 691 попытку электронной почты, связанную с AnonyMousKIT, и более 6 000 на связанных версиях платформы.
Инфраструктура больше напоминает коммерческий программный сервис, чем базовую коллекцию фишинговых страниц. Операторы могут покупать кредиты и управлять кампаниями через дашборд с информацией о заказах, балансах, ссылках, заблокированных попытках и успешных атаках.
SOCRadar заявила, что ошибка разработки выявила значительные части бэкенда операции, предоставив исследователям необычный обзор её инфраструктуры. Их расследование выявило 30 установок бэкенда в 42 доменах, разделяющих один и тот же базовый код.
Результаты также свидетельствуют о том, что AnonyMousKIT поддерживает более широкую криминальную цепочку поставок, включающую разработчиков, продавцов, клиентов, операторов магазинов и многочисленные аккаунты WhatsApp.
Владельцам украденных iPhone следует особенно осторожно относиться к неожиданным звонкам или сообщениям с утверждением, что их устройство было найдено. Сообщение с точной информацией о пропавшем телефоне не доказывает, что отправитель представляет Apple.
Apple советует пользователям никогда не делиться паролем устройства, паролем от аккаунта или кодами подтверждения с другим человеком и предупреждает, что не будет связываться с пользователями, чтобы сообщить о том, что найдено потерянное iPhone.