▶️В качестве эксперимента засняла видео-доклад по мотивам моего исследования крипто-дрейнеров в сети TON:
🌐 ‟Dissecting TON Crypto Drainers”
[1080p]⏬ Down-the-Drain.mp4
[480p] (чтоб вам кеш не занимать)
▪️ На английском, НО с русскими субтитрами!
▪️ Есть timestamp'ы в описании;
▪️ Дополнено самым популярным сценарием фишинга на примере реального скамера;
▪️ Демонстрирует кусочки исходного кода дрейнеров ⚠️
*⃣ 00:00 Intro
*⃣ 02:01 DISCLAIMER
*⃣ 02:05 Case: A chat with a scammer
*⃣ 04:10 Case: Telegram bot analysis
*⃣ 05:33 Case: Telegram mini app analysis
*⃣ 08:07 Talk: Introduction
*⃣ 08:54 Talk: Level 0 sample
*⃣ 10:34 Talk: Note on Telegram bots
*⃣ 11:21 Talk: Note on origin verification
*⃣ 13:18 Talk: Level 1.0 sample
*⃣ 14:11 Talk: Level 1.1 sample
*⃣ 14:34 Talk: Note on UI customization
*⃣ 16:25 Talk: Level 1.2 sample
*⃣ 17:13 Talk: Level 2 sample
*⃣ 18:49 Outro
К слову, обновила статью: с момента написания ВСЕ упомянутые браузерные расширения кошельков подтянулись и реализовали UI элементы, которые бы показывали пользователю домен, с которого пришёл запрос, вместо того, что указал разработчик dApp'а в TON манифесте! Жаль, что в остальных форматах это пока неприменимо;
🌐 ‟Down the Drain: Unpacking TON of Crypto Drainers”
Что ж, работаем дальше!
⬜➖⬜➖⬜➖
А вот Павел Дуров удивился, что кого-то скамили через мини-приложения в Telegram – о чём он узнал на форуме Blockchain Life, опросив аудиторию;
💬 Кстати, в этот раз на Pentest Awards был крутой кейс, занявший 1 место в номинации "Ловись рыбка":
🌐 ‟OTP — не проблема! Прокачиваем фишинг при помощи дыры в Exchange, Telegram-бота и Evilginx2”
В рамках него рассматривается использование мини-приложений Telegram в фишинговых кампаниях и redteam проектах.
▶️Stay safe!
@HaHacking 🐇