【后续】办完信用卡竟然被诈骗了数万元?揪出幕后黑手!

根据成都无糖信息(专注反诈多年)爆料,该网站是一套名为黑科技钓鱼王的程序,并提供给了笔者该网站的程序和受害者的数据。

*成都无糖信息技术有限公司(以下简称无糖信息),致力于反网络犯罪领域的安全技术研究及产品研发,为公安、网信、运营商、银行、通管互联网电商等机构与组织提供 高效专业的网络犯罪情报分析服务和解决方案。无糖信息是以国内领先的安全团队PKAV为核心的自主创新型企业,主要成员均为国内知名白帽子,WEB安全、漏洞挖掘、网络攻防 等研究领域具备国内顶尖技术实力和丰富的实战经验。
官网:https://www.nosugartech.com/*
-w230
-w225

这套程序是一套易语言编写的钓鱼程序,包括前台和收信后台,并且该程序不同于传统的钓鱼程序,后台也是一套易语言写的一套客户端用来收信。
这个程序作者也挺有意思,号称绝对安全,并且不偷料(钓鱼所得的受害者资料)
-w1194
-w1169

而且存在合作模式,夜间0点到早晨9点这个时间段所得的资料是属于作者的,作者免费发布程序的同时或者一定的资料作为使用程序的费用,这是共享经济吗?

通过简单分析发现了几个漏洞,可以读取到客户端收信的账户密码,从而获得登陆日志和受害者等信息,
-w1064

成功登陆,并拿到了登陆记录和受害人信息
-w1104
骗子也很狡猾,经常删除数据,目前为止只有当天的这么一点数据,他们甚至还哄骗受害者下载木马,从而控制他们的手机做短信拦截
我们只能发个信息提醒一下受害者吧

从现有的数据分析得知,看数据编号为54,虽然也有一些是我提交测试的信息,但是理论上也就是有数十人被骗去了个人银行卡/信用卡的资料,金额得数十上百万了。
再通过主机名和登陆时间猜测,可能他并不是实时在线上,而且看主机名比较像网吧的机器

通过网站上所留的网站统计得知如下数据,每天有数百人访问该网页,看来其群发的数据还是相当多的
-w1226
-w1235

可以得知他是在2月22号才开始运营
-w308

受害者分布在全国69个省市,其中靠前的城市如下
-w1199
-w1228

后来在软件中发现一个屏蔽电脑访问的记录,其中记录了22号开站到目前为止屏蔽了27381条访问记录,理论上一般自己把站建好都会自己尝试访问一下,在拉了前几页的记录发现 这个ip 223.XXX.13.120很可疑,时间跨度3个小时,从5点到7点40,如果只是一个受害者,不可能访问了2个多小时,在加上建站开始,第一个访问ip就是该ip

ip所在地:中国-湖南-衡阳-耒阳市

通过拉取他22号当天的网站统计数据,在通过拦截日志对比,在建站开始后的时候有一个访问记录,然后他使用了网站测速功能,所以有了72+20这条访问记录,基本可以确定 这个湖南的ip(223.xxx.13.120)就是他本人!
-w1207

再去ip位置附近查找,根据直接的主机名都是LS115,LS121,
很有可能前面的LS就是网吧缩写,百度地图定位过去搜了一下 发现一个名为 【乐上网咖】 很可疑,
-w801

如果是这个网吧,那么只要看2019年2月22号下午3点39分 121号机,2019年2月23号下午4点27 115号机是谁上的就能确定了

结语:有ip之后剩下的事情就可以交给警察叔叔了。

标签: none