La estafa CryptoRom gana $ 1.4 millones al aprovechar las funciones comerciales de Apple - Calendae | Informática, Electrónica, CMS, Ciberseguridad

La estafa CryptoRom gana $ 1.4 millones al aprovechar las funciones comerciales de Apple

Hola otra vez. Te escribe Eduardo Arroyo y hoy hablaremos sobre La estafa CryptoRom gana $ 1.4 millones al aprovechar las funciones comerciales de Apple

La estafa CryptoRom gana $ 1.4 millones al aprovechar las funciones comerciales de Apple

La campaña, que utiliza el Programa de Desarrolladores de Apple y firmas corporativas para aprobar el proceso de revisión de la aplicación de Apple, permanece activa.

Los estafadores de criptomonedas de esquemas piramidales están aprovechando el Programa de Desarrolladores Empresariales de Apple para obtener aplicaciones comerciales falsas en los iPhones de sus marcas. Hasta ahora, todo va bien: hasta ahora han logrado salirse con la suya con al menos $ 1.4 millones en ganancias ilícitas.

Esto es según Sophos Labs, que ha observado que la estafa circula por los sitios de citas.

«Están haciendo amigos, usando el juego de las citas como una estratagema, pero luego rápidamente cambian al dinero, esta vez con el pretexto de hacerte un gran favor al ofrecerte la oportunidad de unirte a una oportunidad de inversión ‘inmejorable'», los investigadores. dijo. en un Entrada miércoles.

Esta oportunidad de inversión implica el comercio de criptomonedas, con la oferta de invertir dinero en criptomonedas para obtener grandes ganancias. Para dar una apariencia de legitimidad, los estafadores ofrecen una aplicación de iPhone «oficial», supuestamente aprobada por Apple.

«La App Store, como el equivalente de la Play Store de Google para Android, de ninguna manera es inmune al malware, pileware y otras aplicaciones de badware», señalaron los investigadores de Sophos. «Pero las aplicaciones de comercio de criptomonedas totalmente falsas, basadas en plataformas de comercio totalmente falsas, rara vez lo logran».

Entonces, en cambio, los estafadores usan una laguna que permite que los programas de administración de dispositivos móviles empresariales (MDM) controlen los dispositivos iOS propiedad de la empresa, según el análisis de Sophos, a través del programa Enterprise Developer de Apple, específicamente la función Apple Enterprise / Corporate Signature.

Como explicó la empresa en su informe: «Las empresas que registran los dispositivos del personal en el sistema de gestión remota de Apple a través de … un perfil MDM … pueden borrar de forma remota [devices], unilateralmente o bajo demanda, bloquee el acceso a los datos corporativos, aplique configuraciones de seguridad específicas como códigos de bloqueo y tiempos de espera de bloqueo … y (¡esta es la característica que buscan los estafadores!) Pueden instalar aplicaciones comerciales a medida destinadas solo a los empleados.

Por lo tanto, el aspecto del juego de confianza de la estafa es conseguir que el objetivo, que se cultivó a través de un sitio de citas, permita al estafador registrar el dispositivo en el «programa», que en realidad es la plataforma compatible con MDM de Apple. Luego viene la instalación de la supuesta aplicación relacionada con la criptomoneda, que es una versión falsa de la aplicación de comercio de criptomonedas Bitfinex.

Fuente: Sophos.

«Los estafadores lo persuaden, por ejemplo, sobre la base de una amistad cuidadosamente cultivada a través de un sitio de citas, para que les dé el mismo tipo de poder administrativo sobre su iPhone que generalmente está reservado para las empresas que administran dispositivos propiedad de la empresa», señalaron los investigadores.

La aplicación, por supuesto, está hecha de mentiras y miseria.

“No hay una plataforma comercial detrás de esto; sus «inversiones» no se utilizan para comprar ningún tipo de criptomoneda, ni siquiera volátil o poco conocida «, según Sophos.» Cualquier ‘comercio’ y ‘beneficio’ informado por la aplicación es imaginario; si alguna vez se le permitirá retirar cualquiera de sus «ganancias» para generar confianza, los estafadores simplemente le devolverán una pequeña parte de su dinero, y cuando quiera sacar provecho de su ‘inversión’, se dará cuenta de que todo es humo y espejos ”.

Según la investigación de Sophos, la base tecnológica específica de la estafa involucra la función Apple Enterprise Signature.

«El programa Enterprise Signature de Apple se puede utilizar para distribuir aplicaciones sin revisiones de la App Store de Apple, utilizando un perfil y certificado de Enterprise Signature», explicaron los investigadores. «Las aplicaciones firmadas con certificados empresariales deben implementarse dentro de la organización para empleados o probadores de aplicaciones y no deben usarse para distribuir aplicaciones a los consumidores …[so] las aplicaciones no deben enviarse a la App Store de Apple para su revisión.

En el caso de estos movimientos de «cripto-rom», el sistema de aprovisionamiento empresarial de Apple es un talón de Aquiles en la plataforma de Apple. A la bandera que usa iOS se le pide que visite un sitio controlado por estafadores, donde se descarga un perfil MDM en su dispositivo. Esto está firmado con un certificado Enterprise que ayuda a convencer al usuario de que todo está aprobado por Apple y es kosher. Se le pide al usuario que confíe en el perfil, después de lo cual el servidor solicita al usuario que instale la aplicación falsa desde una página que se parece a la App Store de Apple, con reseñas falsas.

Sophos señaló que el abuso del programa de esta manera se ve agravado por el aumento de los servicios comerciales de terceros que ofrecen la distribución de certificados Enterprise Signature, incluidas las demandas sin escrúpulos que destacan la capacidad de evadir la revisión de la App Store.

«Hay varios servicios comerciales que venden firmas de Apple para aplicaciones que se pueden comprar por [a] un par de cientos de dólares «, según los investigadores de Sophos.» Hay varias versiones de las firmas: versiones estables que son caras y versiones menos estables que son más baratas. La versión más barata es probablemente la preferida por los estafadores, ya que es fácil cambiar a una una nueva cuando Apple detecta y bloquea la antigua firma.

Apple ha tomado medidas enérgicas contra el uso de certificados empresariales para distribuir aplicaciones a los consumidores, señaló Sophos, pero los estafadores parecen inclinarse hacia estafas más específicas que pueden ser más difíciles de detectar para Apple.

«Para mitigar el riesgo de estas estafas dirigidas a usuarios menos sofisticados de dispositivos iOS, Apple debería advertir a los usuarios que instalan aplicaciones a través de sistemas de distribución ad hoc o de aprovisionamiento empresarial que dichas aplicaciones no han sido revisadas por Apple», señalaron los investigadores.

Apple no respondió de inmediato una solicitud de comentarios.

Esta campaña de estafa en particular permanece activa, advirtió Sophos, con nuevas víctimas involucradas todos los días. Además, debe tenerse en cuenta que, en general, las estafas románticas siguen siendo la estrategia de fraude más exitosa para los ciberdelincuentes y son una industria en crecimiento, según la Comisión Federal de Comercio. El año pasado, según nuevos datos, los esquemas románticos representaron un récord de 304 millones de dólares recaudados en arcas ilícitas, un aumento de alrededor del 50 por ciento con respecto a 2019.

Sin prácticamente ninguna posibilidad de recuperar las pérdidas de estos esfuerzos, Sophos ha ofrecido las siguientes mejores prácticas para protegerse:

  • Tómese su tiempo cuando la charla del «sitio de citas» pase de la amistad, el amor o el romance al dinero. No se deje llevar por el hecho de que su nuevo «amigo» tiene mucho en común con usted. Es posible que la otra persona simplemente haya leído detenidamente los distintos perfiles Online de antemano.
  • Nunca le dé control administrativo sobre su teléfono a alguien sin una razón real para tenerlo.
  • Nunca haga clic [Trust] en un cuadro de diálogo que le pide que se registre para la gestión remota a menos que sea de alguien con quien ya tenga un contrato de trabajo, las condiciones se le hayan explicado claramente con antelación y usted comprenda y esté de acuerdo con las razones para registrar su teléfono.
  • No se deje engañar por las descripciones de las aplicaciones que requieren la aprobación de Apple y revise las reseñas con cuidado.
  • Escuche abiertamente a sus amigos y familiares si intentan dar una advertencia. Los delincuentes que usan el romance o las citas como cebo no piensan en enfrentar deliberadamente a las víctimas contra sus familias como parte de sus estafas.

«A medida que las instituciones de criptomonedas han comenzado a implementar las reglas de conozca a sus clientes, la falta de una regulación más amplia de las criptomonedas continuará atrayendo a las empresas criminales a este tipo de esquemas y hará que sea extremadamente difícil para las víctimas de fraude recuperar su propio dinero», advirtieron los investigadores de Sophos. «Estas estafas pueden tener un efecto devastador en la vida de sus víctimas».

.

Recuerda compartir en tu Facebook para que tus colegas lo lean

??? ? ? ???

Comparte

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *