Negli ultimi mesi, un nuovo servizio di phishing-as-a-service (PhaaS) chiamato Darcula ha attirato l’attenzione per la sua capacità di sottrarre enormi volumi di dati sensibili, in particolare informazioni di carte di credito.
Un’indagine congiunta condotta da NRK, Bayerischer Rundfunk, Le Monde e la società di sicurezza norvegese Mnemonic ha rivelato che, tra il 2023 e il 2024, Darcula ha compromesso circa 884.000 carte di credito attraverso oltre 13 milioni di clic su link malevoli inviati tramite SMS a utenti in più di 100 paesi.
Indice degli argomenti
Cos’è Darcula e come funziona
Darcula è una piattaforma PhaaS che consente a operatori criminali di lanciare campagne di phishing altamente sofisticate e automatizzate, principalmente rivolte a utenti Android e iPhone.
La piattaforma utilizza una rete di circa 20.000 domini fasulli che imitano brand noti, aumentando così la probabilità che le vittime cadano nel tranello. Queste le tecniche malevole utilizzate:
- Phishing via SMS e messaggistica avanzata: a differenza di molte campagne di phishing tradizionali basate su SMS, Darcula sfrutta anche protocolli più moderni come RCS (Rich Communication Services) e iMessage, che permettono messaggi più ricchi e credibili, aumentando il tasso di successo degli attacchi.
- Tematiche ingannevoli: i messaggi spesso si presentano come notifiche di multe stradali o avvisi di spedizione pacchi, inducendo la vittima a cliccare su link che portano a pagine di phishing.
- Automazione e personalizzazione: dal febbraio 2025, Darcula ha introdotto funzionalità che consentono agli operatori di generare automaticamente kit di phishing per qualsiasi brand, con un pannello di controllo semplificato e funzionalità di conversione da carta di credito a carta virtuale, facilitando la monetizzazione delle informazioni rubate.
- Intelligenza artificiale generativa: da aprile 2025, Darcula integra strumenti di intelligenza artificiale basati su modelli di linguaggio (LLM) per creare truffe personalizzate in qualsiasi lingua e su qualsiasi argomento, aumentando ulteriormente l’efficacia delle campagne.
L’infrastruttura tecnica di Darcula: Magic Cat
L’indagine di Mnemonic, che ha incluso un reverse engineering approfondito dell’infrastruttura, ha portato alla luce un toolkit di phishing chiamato Magic Cat, il cuore tecnologico di Darcula.
Questo toolkit fornisce agli operatori criminali strumenti avanzati per creare pagine di phishing convincenti e gestire le campagne in modo efficiente.
Attraverso l’analisi OSINT, il monitoraggio di gruppi chiusi su Telegram e l’analisi del traffico DNS, i ricercatori hanno identificato circa 600 operatori che utilizzano Darcula per le loro attività fraudolente.
Questi operatori sono organizzati in gruppi chiusi su Telegram, spesso comunicano in cinese e gestiscono infrastrutture complesse come SIM farms e hardware dedicato per l’invio massivo di messaggi e la gestione delle transazioni con carte rubate.
Un individuo chiave, un 24enne di Henan, in Cina, è stato collegato alla creazione di Magic Cat tramite un account GitHub. La società cinese associata ha negato ogni coinvolgimento diretto nella frode, affermando di vendere solo software per la creazione di siti web, ma ha ammesso che Magic Cat è stato usato per phishing e ha promesso di chiudere il progetto, anche se attualmente risulta ancora mantenuto e con release di aggiornamenti sempre in diffusione.
Implicazioni per la cyber security
La rapidità con cui Darcula si è evoluto e la sofisticazione delle sue tecniche rappresentano una sfida significativa per la difesa delle infrastrutture digitali e la protezione dei consumatori:
- Elevata scala e automazione: la capacità di generare kit phishing per qualsiasi brand e in qualsiasi lingua, unita all’uso di AI, rende Darcula estremamente versatile e difficile da contrastare.
- Uso di tecnologie moderne di messaggistica: l’adozione di RCS e iMessage supera molte difese tradizionali basate su SMS, richiedendo nuovi approcci di rilevamento e mitigazione.
- Infrastrutture complesse: le SIM farms e i gruppi organizzati indicano un modello di business criminale ben strutturato, con divisione dei compiti e specializzazione.
L’operazione Darcula sottolinea l’importanza di adottare strategie di difesa multilivello, che includano:
- Monitoraggio avanzato del traffico di messaggi e DNS per identificare domini sospetti e campagne di phishing.
- Educazione continua degli utenti sui rischi di phishing via SMS e messaggistica avanzata, con particolare attenzione ai segnali di allarme come link sospetti o messaggi non richiesti.
- Collaborazione internazionale tra forze dell’ordine, aziende di cybersecurity e provider di servizi di comunicazione per smantellare infrastrutture criminali come Darcula.
La lotta contro piattaforme PhaaS come Darcula richiede un impegno costante e l’aggiornamento continuo delle tecniche di difesa, data la rapidità con cui queste minacce evolvono.
