- “Milk Dragon”组织利用虚假电商网站与社交媒体广告窃取支付数据
- 恶意软件在用户提交表单前即可实时截获凭证及多因素认证（MFA）代码
- 该诈骗活动波及全球 66 个国家，滥用知名品牌及金融机构信誉
近期，研究人员揭露了一个名为“Milk Dragon”（牛奶龙）的大规模网络钓鱼诈骗活动。该组织通过伪造乐高、卡尔文·克莱恩等知名品牌的折扣信息，诱导用户在虚假的电子商务网站上输入敏感数据。
据 Group-IB 报告指出，这一威胁行为者至少在过去一年内，持续使用同名钓鱼工具包构建热门电商网站的克隆版本，以实施欺诈。
利用社交媒体渠道分发钓鱼链接
这些假冒网站提供的优惠极具诱惑力，旨在降低用户的警惕性。根据美国联邦贸易委员会（FTC）Consumer Sentinel 的数据，2023年“在线购物和负面评论”类别收到了 376,830 份投诉，涉及损失金额近 4 亿美元。其中，报告损失的中位数为 126 美元，超过一半的案例涉及实际财务损失。
此次活动的独特之处在于其传播渠道的转变。攻击者不再主要依赖电子邮件，而是利用 Facebook 和 TikTok 等社交平台上的群组及页面发布诱饵。由于电子邮件提供商已能有效拦截大多数传统钓鱼邮件，这种基于社交媒体的传播方式使得受害者往往在未察觉的情况下成为高级信息窃取器（Infostealer）的目标。
这些钓鱼网站植入了名为 BytePress 的恶意软件。该软件能够捕获所有在页面上输入的信息，并将其发送至攻击者的命令与控制服务器。值得注意的是，BytePress 的危险性在于它无需等待用户点击“提交”，仅凭键盘输入动作即可实时截获数据。
当受害者完成操作后，数据会通过攻击者基础设施转发至合法网站。合法网站返回的一次性密码或多因素认证请求会被再次截获并反馈给受害者，从而绕过安全防护机制。
延迟暴露以争取作案时间
在流程结束时，受害者会收到一个伪造的订单确认页面，显示购买成功。这种设计旨在让受害者误以为交易正常进行，从而避免立即联系银行冻结信用卡或重置账户凭证。在这段窗口期内，诈骗者可以利用窃取的详细信息进行非法活动。
Group-IB 的分析显示，“Milk Dragon”并未针对特定国家或个人，受害者在 66 个国家均有分布。然而，绝大多数受害者集中在三个国家：马来西亚（超过 1,300 人）、新加坡（超过 1,200 人）以及泰国（超过 1,100 人）。
该团伙的目标品牌范围广泛，涵盖化妆品、时尚、食品饮料、家居婴儿用品及玩具行业。此外，区域性超市以及 36 家金融机构和银行也频繁成为仿冒对象。
目前，“Milk Dragon”钓鱼工具包正在 Telegram 频道上公开售卖。该工具每月订阅费用为 300 USDT（加密货币），并提供多种订阅计划及附加功能模块。
