Les chercheurs en cybersécurité attirent l’attention sur un nouveau type d’escroquerie à l’investissement qui exploite une combinaison de malvertising sur les réseaux sociaux, de publications de marque d’entreprise et de témoignages vidéo alimentés par l’intelligence artificielle (IA) mettant en vedette des personnalités célèbres, entraînant finalement des pertes financières et de données.

« L’objectif principal des fraudeurs est de diriger les victimes vers des sites Web et des formulaires de phishing qui récoltent leurs informations personnelles », a noté ESET dans son rapport sur les menaces du deuxième semestre 2024 partagé avec The Hacker News.

L’entreprise slovaque de cybersécurité traque cette menace sous le nom de Nomani , un jeu de mots avec l’expression « no money ». Elle a déclaré que l’escroquerie a augmenté de plus de 335 % entre le premier et le deuxième semestre 2024, avec plus de 100 nouvelles URL détectées quotidiennement en moyenne entre mai et novembre 2024.

Les attaques se déroulent au travers de publicités frauduleuses sur les plateformes de médias sociaux, ciblant dans plusieurs cas des personnes qui ont déjà été escroquées en utilisant des leurres liés à Europol et INTERPOL, leur proposant de les contacter pour obtenir de l’aide ou de se faire rembourser l’argent volé en cliquant sur un lien.

Ces publicités sont publiées à partir d’un mélange de faux profils légitimes et volés associés à des petites entreprises, des entités gouvernementales et des micro-influenceurs comptant des dizaines de milliers d’abonnés. D’autres canaux de distribution incluent le partage de ces publications sur Messenger et Threads, ainsi que le partage d’avis positifs trompeurs sur Google.

« Un autre grand groupe de comptes diffusant fréquemment des publicités Nomani sont des profils nouvellement créés avec des noms faciles à oublier, une poignée d’abonnés et très peu de publications », a souligné ESET.

Les sites Web vers lesquels ces liens dirigent demandent leurs coordonnées et imitent visuellement les médias d’information locaux, abusent des logos et de l’image de marque d’organisations spécifiques ou prétendent faire la publicité de solutions de gestion de crypto-monnaie avec des noms en constante évolution tels que Quantum Bumex, Immediate Mator ou Bitcoin Trader.

Dans l’étape suivante, les cybercriminels utilisent les données recueillies à partir des domaines de phishing pour appeler directement les victimes et les manipuler afin qu’elles investissent leur argent dans des produits d’investissement inexistants qui affichent faussement des gains phénoménaux. Dans certains cas, les victimes sont dupées et incitent les victimes à contracter des prêts ou à installer des applications d’accès à distance sur leurs appareils.

« Lorsque ces « investisseurs » victimes demandent le versement des bénéfices promis, les escrocs les obligent à payer des frais supplémentaires et à fournir des informations personnelles supplémentaires telles que des informations d’identité et de carte de crédit », a déclaré ESET. « Au final, les fraudeurs prennent à la fois l’argent et les données et disparaissent – ​​suivant la même arnaque que celle de l’abattage de porcs . »

Il existe des preuves suggérant que Nomani est l’œuvre d’acteurs malveillants russophones, étant donné la présence de commentaires de code source en cyrillique et l’utilisation des outils Yandex pour le suivi des visiteurs.

Similairement aux principales opérations d’escroquerie comme Telekopye , on soupçonne que différents groupes sont chargés de gérer chaque aspect de la chaîne d’attaque : vol, création et abus de comptes et de publicités Meta , construction de l’infrastructure de phishing et gestion des centres d’appels.

« En utilisant des techniques d’ingénierie sociale et en établissant un climat de confiance avec les victimes, les escrocs déjouent souvent les mécanismes d’autorisation et les appels téléphoniques de vérification utilisés par les banques pour prévenir la fraude », a déclaré ESET.

Cette nouvelle intervient alors que les autorités sud-coréennes chargées de l’application de la loi ont annoncé avoir démantelé un réseau de fraude à grande échelle qui a escroqué près de 6,3 millions de dollars à des victimes via de fausses plateformes de trading en ligne dans le cadre d’une opération appelée MIDAS. Plus de 20 serveurs utilisés par le réseau de fraude ont été saisis et 32 ​​personnes impliquées dans l’opération ont été arrêtées.

En plus d’attirer les victimes par SMS et appels téléphoniques, les utilisateurs des programmes de systèmes de trading illicites à domicile (HTS) ont été incités à investir leurs fonds en regardant des vidéos YouTube et en rejoignant les salles de discussion KakaoTalk.

« Le programme communique avec les serveurs de véritables sociétés de courtage pour obtenir des informations sur le cours des actions en temps réel et utilise des bibliothèques de graphiques accessibles au public pour créer des représentations visuelles », a déclaré le Financial Security Institute (K-FSI) dans une présentation donnée lors de la conférence Black Hat Europe la semaine dernière.

« Cependant, aucune transaction boursière n’est réellement effectuée. Au contraire, la fonction principale du programme, une fonction de capture d’écran, est utilisée pour espionner les écrans des utilisateurs, collecter des informations non autorisées et refuser de restituer l’argent. »100