【后续】办完信用卡竟然被诈骗了数万元？揪出幕后黑手！

根据成都无糖信息（专注反诈多年）爆料，该网站是一套名为黑科技钓鱼王的程序，并提供给了笔者该网站的程序和受害者的数据。

*成都无糖信息技术有限公司（以下简称无糖信息），致力于反网络犯罪领域的安全技术研究及产品研发，为公安、网信、运营商、银行、通管互联网电商等机构与组织提供高效专业的网络犯罪情报分析服务和解决方案。无糖信息是以国内领先的安全团队PKAV为核心的自主创新型企业，主要成员均为国内知名白帽子，WEB安全、漏洞挖掘、网络攻防等研究领域具备国内顶尖技术实力和丰富的实战经验。
官网：https://www.nosugartech.com/*
-w230
-w225

这套程序是一套易语言编写的钓鱼程序，包括前台和收信后台，并且该程序不同于传统的钓鱼程序，后台也是一套易语言写的一套客户端用来收信。
这个程序作者也挺有意思，号称绝对安全，并且不偷料（钓鱼所得的受害者资料）
-w1194
-w1169

而且存在合作模式，夜间0点到早晨9点这个时间段所得的资料是属于作者的，作者免费发布程序的同时或者一定的资料作为使用程序的费用，这是共享经济吗？

通过简单分析发现了几个漏洞，可以读取到客户端收信的账户密码，从而获得登陆日志和受害者等信息，
-w1064

成功登陆，并拿到了登陆记录和受害人信息
-w1104
骗子也很狡猾，经常删除数据，目前为止只有当天的这么一点数据，他们甚至还哄骗受害者下载木马，从而控制他们的手机做短信拦截
我们只能发个信息提醒一下受害者吧

从现有的数据分析得知，看数据编号为54，虽然也有一些是我提交测试的信息，但是理论上也就是有数十人被骗去了个人银行卡/信用卡的资料，金额得数十上百万了。
再通过主机名和登陆时间猜测，可能他并不是实时在线上，而且看主机名比较像网吧的机器

通过网站上所留的网站统计得知如下数据，每天有数百人访问该网页，看来其群发的数据还是相当多的
-w1226
-w1235

可以得知他是在2月22号才开始运营
-w308

受害者分布在全国69个省市，其中靠前的城市如下
-w1199
-w1228

后来在软件中发现一个屏蔽电脑访问的记录，其中记录了22号开站到目前为止屏蔽了27381条访问记录，理论上一般自己把站建好都会自己尝试访问一下，在拉了前几页的记录发现这个ip 223.XXX.13.120很可疑，时间跨度3个小时，从5点到7点40，如果只是一个受害者，不可能访问了2个多小时，在加上建站开始，第一个访问ip就是该ip

ip所在地：中国-湖南-衡阳-耒阳市

通过拉取他22号当天的网站统计数据，在通过拦截日志对比，在建站开始后的时候有一个访问记录，然后他使用了网站测速功能，所以有了72+20这条访问记录，基本可以确定这个湖南的ip（223.xxx.13.120）就是他本人！
-w1207

再去ip位置附近查找，根据直接的主机名都是LS115，LS121，
很有可能前面的LS就是网吧缩写，百度地图定位过去搜了一下发现一个名为【乐上网咖】很可疑，
-w801

如果是这个网吧，那么只要看2019年2月22号下午3点39分 121号机，2019年2月23号下午4点27 115号机是谁上的就能确定了

结语：有ip之后剩下的事情就可以交给警察叔叔了。

办完信用卡竟然被诈骗了数万元？揪出幕后黑手！

起因是笔者的同学打电话给我，告诉我他一个战友被骗了2w了，大概过程是头一天有工商银行的去他们单位组织办信用卡，第二天他战友收到了一条信用卡提额的诈骗短信，钓鱼网站竟然也打着工商银行的旗号，这也太巧了？

打开短链接指向 http://m.lcdbcit.cc
打开一看就是一个钓鱼网站，有俩个入口，一个是申请信用卡，一个是信用卡提额

点击了信用卡提额后，发现需要填写持卡人信息后和信用卡的cvv和有效期，骗子一旦掌握了这些信息后就可以直接去盗刷你的卡了。

先尝试了xss，但是无果，后来分析发现这个域名指向的ip是
154.48.228.254 一台美国的服务器，只开放了web和3389

查询了lcdbcit.cc的whois信息发现是在阿里云注册的，但是开了隐私保护，只得到了注册地是广西，呵诈骗根据地。

通过分析发现154的ip上还绑定了另外几个域名

c10166.com
c11568.com
c61855.com

查询这个whois有所发现

Registry Registrant ID: Not Available From Registry 
Registrant Name: gueijuan xu 
Registrant Organization: 
Registrant Street: 197hao,kanlecuen,wujianqu 
Registrant City: shaoguanshi 
Registrant State/Province: Guangdong 
Registrant Postal Code: 512026 
Registrant Country: CN 
Registrant Phone: +86.07518700707 
Registrant Phone Ext: 
Registrant Fax: 
Registrant Fax Ext: 
Registrant Email: [email protected]

通过对这个email进行查询，发现其名下注册的域名有几万个，内容很杂，方向也都不一样，判断可能是一个域名贩子

图为随机扫描了一些他注册的域名，查看域名所绑定的ip和开启的服务

但是仔细一想，如果只是一个域名贩子，那么不可能三个域名都指向诈骗者的服务器，如果诈骗者买域名，也不会碰巧都在同一个人那里买，而且这个邮箱下所注册的域名，不是赌博就是诈骗，抱着这样的疑问笔者猜测，这个邮箱的主人要么就是诈骗团伙的一员，要么就是和诈骗团伙有合作。

通过后续的信息收集发现facebook上有一则文章，大概是说有人在香港的网站上打广告号称有海关滞留的低价劳力士，移动硬盘等信息，然后大量的人中招，看来香港同胞也难逃“小便宜”的诱惑，然后广告所指向的域名刚好也是这个邮箱注册的，只不过hotmail变成了163，注册者的名字也是一样的，到这里笔者越发能确定邮箱的主人绝对不干净。