Кампания имитации форекс-брокера
Один злоумышленник управлял 12 каналами имитации, нацеленными на регулируемого форекс-брокера, в среднем 47 новых жертв в неделю до вмешательства.
Ландшафт угрозы
Один злоумышленник создал 12 каналов Telegram, имитирующих регулируемого форекс-брокера ЕС. Каждый канал использовал официальные брендовые активы, скопированные с сайта брокера, и содержал фейковых "менеджеров счетов", предлагающих кредитные торговые сигналы. Жертвы направлялись через Telegram-бота, который запрашивал депозиты в кошелёк для "маржинальных требований". Злоумышленник использовал одноразовые SIM-карты и купленные на Fragment аккаунты Telegram, ротируя каналы каждые 72 часа для уклонения от автоматического обнаружения.
График поручения
День 1
Обнаружение сети
Сканирование вариантов username (расстояние Левенштейна) для обнаружения всех 12 активных каналов-клонов. Отмечены 3 исторических канала, которые были удалены.
Дни 2-4
Атрибуция и отслеживание
Проведён ончейн-трекинг адресов депозитных кошельков. Идентифицировано 2 связанных TON-кошелька с историей транзакций, ведущей к известным скам-кластерам. Обнаружена публичная группа Telegram, где злоумышленник вербовал участников.
Дни 5-7
Нейтрализация и срыв
Запущен параллельный репортинг по всем 12 каналам. Адреса кошельков переданы на платформы блокчейн-аналитики для блокировки. Операции по вербовке сорваны через инфільтрацию группы.
Дни 8-10
Мониторинг
Пост-операционный мониторинг обнаружил 2 дополнительных канала, созданных тем же злоумышленником в течение 48 часов. Оба нейтрализованы в течение 6 часов после создания.
Использованные тактики
Результаты
Назад к кейсам