Como parte de la Operación Ramz, se dio de baja el sitio web utilizado para ofrecer capacidades de PhaaS a otros ciberdelincuentes. Las autoridades también incautaron hardware que contenía software y scripts de phishing.

"Activa al menos desde 2015, Sniper Dz evolucionó hasta convertirse en una sofisticada plataforma criminal que ofrecía kits de phishing listos para usar, infraestructura de alojamiento y soporte operativo a ciberdelincuentes", afirmó la empresa de ciberseguridad con sede en Singapur Group-IB.

En los años transcurridos desde entonces, se han identificado más de 20.000 dominios únicos asociados con el servicio PhaaS. El conjunto de herramientas se dirigía principalmente a 30 grandes organizaciones globales, incluidas PayPal, Facebook, Instagram, Yahoo, Netflix y Steam, utilizando 80 plantillas de phishing desplegadas en cinco idiomas, entre ellos árabe, inglés, francés, español y hebreo.

Las campañas de phishing que utilizaban Sniper Dz seleccionaban a usuarios de tecnología, redes sociales y plataformas de streaming en diversas geografías, suplantando marcas populares y entidades gubernamentales mediante sitios web de imitación convincentes con el objetivo de robar credenciales, información personal y otros datos sensibles.

"Más allá del robo tradicional de credenciales, la plataforma también aprovechaba técnicas de ingeniería social que explotaban la popularidad y credibilidad de figuras públicas en Oriente Medio y el Norte de África", explicó Group-IB. "Los actores de amenazas creaban cuentas falsas en redes sociales suplantando a personalidades políticas conocidas y las utilizaban para promocionar enlaces de phishing disfrazados de ofertas promocionales o acceso gratuito a internet".

Sniper Dz fue objeto de un análisis exhaustivo por parte de Palo Alto Networks Unit 42 en octubre de 2024, que detalló el uso por parte del actor de amenazas de un canal de Telegram con más de 7.300 suscriptores para compartir vídeos tutoriales y las opciones que ofrece para alojar las páginas de phishing en su propia infraestructura detrás de un servidor proxy.

Lo que hizo que Sniper Dz destacara en el saturado mercado de PhaaS es que ofrecía toda su infraestructura de forma gratuita, facilitando que los aspirantes a ciberdelincuentes llevaran a cabo campañas de phishing a gran escala. Las vías de monetización se basaban, en cambio, en el robo de credenciales y el tráfico de víctimas.

"Las credenciales robadas podían recolectarse a través de campañas de phishing, mientras que los usuarios que no entregaban sus credenciales podían ser redirigidos a fraudes de facturación del operador, suscripciones de SMS premium, esquemas de abuso de notificaciones del navegador y otras campañas de estafa basadas en afiliados", señaló Group-IB.

Fuente:
THN