Amis lecteurs,

Un ami a été l’objet d’une attaque si sophistiquée que je ne sais pas par où commencer.

Le mode opératoire implique un acteur malveillant chez l’exchange, un faux support agressif et un FAI (fournisseur d’accès Internet) malveillant ou compromis.

Avant d’aller plus loin, je dois simplifier quelques notions un peu techniques.

Code HTTP

HTTP est le protocole par lequel nos machines communiquent sur Internet.

La communication se fait au travers d’un client (navigateur, smartphone, script Python) et d’un serveur (site ou service consulté).

Cette communication est un jeu de requête/réponse entre les deux machines.

La réponse est composée d’un code et d’un contenu.

Exemple simple:
Votre navigateur demande un article à un blog.

Ce navigateur est donc un client faisant une requête à un serveur.

Le serveur mouline, va chercher dans sa base de données l’article en question, puis renvoie au navigateur deux éléments: le contenu de l’article (texte, images, liens…) et un code.

On rencontre plus souvent les codes 200 car ils représentent une requête traitée avec succès.
Quelques exemples connus:

Autre exemple ultra connu: la fameuse erreur 404.

Pareil que le précédent exemple, le serveur reçoit la requête, mouline la base de données, mais cette fois elle ne trouve pas l’article.

Le serveur renvoie donc un code 404.

Pour résumer de manière très succincte, le code HTTP est la réponse renvoyée par le serveur après le traitement d’une requête.

Pour plus de détails, Google Chat GPT est votre ami.

API

Une API, ou Application Programming Interface, est une interface permettant de brancher deux programmes entre eux afin d’échanger de la donnée.

Pour faire plus concret, une plateforme laisse ouverte des routes à tous les programmes qui s’y connectent.

Dans le cas d’un exchange, on a souvent une route pour lister les marchés, une route pour récupérer les infos d’un marché, une autre route pour placer un ordre, une autre pour annuler son ordre etc…

Exemple simple:
Un tradeur veut acheter 0,04 BTC au prix de 81000 $.

Il a deux possibilités.

La première est par interface graphique, il se connecte via la page de login, va dans le marché BTC et remplit à la main le formulaire.

La seconde est par API.

Il a par exemple un script Python, il le connecte à la route prévue par la plateforme.

Son script passe en argument le côté de l’ordre, le prix et la quantité.

La plateforme traite la requête, fait des vérifications, ajoute une entrée au carnet d’ordres puis renvoie un code HTTP (encore lui).

Pour faire très succinct là aussi, l’API est l’outil par lequel l’utilisateur interagit avec la plateforme sans passer par l’interface graphique.

NonKYC.io a une documentation accessible pour comprendre certains concepts.

Outil de trading automatisé

Notre ami a téléchargé et installé l’outil de trading que je vous partage dans l’espace pro.

Il a ensuite créé sa clé API et changé le fichier de configuration comme dans le tutoriel.

Parenthèse sur le logiciel et son code source:
Le lectorat de cette lettre est de qualité, mais au cas où elle serait lue par des gens au quotient intellectuel limité, je dois préciser que non il n’y a pas de trojan mouchard ou autre malware.
Je suis dans une logique de transparence absolue avec mes soutiens.
Tout le code source est donc public, auditable, contrôlable et testable.

Autre parenthèse sur la fonctionnement:
Le terme “trading” est souvent synonyme de contrat futur à effet de levier.
Mon logiciel ne touche pas aux futures.
Il enchaîne les achats/reventes et cumule les gains sur chaque itération.
Simple et efficace.

Début du calvaire

Après avoir tout paramétré, notre ami lance le programme.

Ce dernier se connecte à l’API, puis affiche une erreur improbable.

{
  "code": 30035,
  "msg": "You have triggered the order limit, please contact us by submitting a ticket"
}

Notre ami contacte donc le support officiel [email protected]

Le message du support le redirige vers un obscur canal Telegram.

À la minute où il poste son message, une horde d’escrocs professionnels lui saute dessus en le contactant par message privé.

Le malheureux est désarçonné, clique sur un lien et est redirigé vers ce site malveillant.

Regardons l’adresse suivante : mexc.user-rectification.com

Le nom de domaine, user-rectification.com, est générique et prête bien à confusion.

Le tout début de l’adresse, “mexc. ”, indique que les escrocs ont un sous-domaine par service.

Le site d’hameçonnage a une charte graphique cohérente avec Mexc.

Logo, couleurs, typographie, icônes, rien n’est laissé au hasard.

Les escrocs utilisent un numéro de téléphone mexicain pour maintenir la confusion Mexc/Mexico

La connexion à l’espace membre du site frauduleux se fait par Metamask.

Après un échange en anglais sur Telegram, notre ami y laisse ses accès et se fait vider ses wallets Metamask et Mexc.

Retour sur l’erreur initiale

L’erreur initiale était le code 30035.

Ce code n’existe pas dans la documentation de l’API.

On a un code 30025, 26, 27, 28, 29, 32, 41, mais aucun code 30035.

Comment notre ami a-t-il reçu une erreur inexistante chez Mexc ?

La réponse se trouve en partie chez son FAI : Starlink.

Il est très fort probable que Starlink soit à l’origine d’une redirection vers un site frauduleux.

Pour l’instant je n’ai pas plus de détail sur cette redirection.

L’avis d’un expert en cybersécurité et réseau serait le bienvenu.

Résumé

En résumé, notre ami pense être connecté à l’API officielle Mexc.

Sa requête est redirigée par Starlink vers un service malveillant qui lui envoie un faux code d’erreur.

L’erreur affichée indique de contacter au plus vite le support, ce qu’il a fait.

La personne du support le redirige vers un canal Telegram.

Et à partir de là il est harcelé d’appels, se fait redirigé vers un site frauduleux, cède et donne tous ses accès.

Cette attaque très bien ficelée est un assemblage entre un réseau télécom compromis, un acteur malveillant au service support et un groupe d’escrocs utilisant Telegram.

Pour moi le groupe d’escrocs n’est pas du brouteur africain.

On est clairement un niveau au-dessus.

Dès que j’ai plus d’informations, je vous en fais part.

En attendant, si vous vous sentez l’âme d’un enquêteur, l’adresse Ethereum des escrocs est la suivante:
0x86DD5bBff3bB3EA2f9e6072601D4b66977eF3807

D’après etherscan.io une partie des fonds se trouve aujourd’hui chez ByBit.

L’enquête continue.

À la semaine prochaine,
Cryptomancien