周末有个Steam名为“影冰”的用户，通过好友关系添加我为好友。
隔夜我正愉快地玩着史低入手的零感染区，突然收到该用户的消息，并附带一个钓鱼链接。（钓鱼样本：https[://]csmav[.]com/csgo/）
该用户发言一股机翻味道，目测是境外组织。
职业敏感性让我预判了他的预判，直接找他要链接。
作为一名网络安全工程师，拿到了钓鱼链接，当然要进行一番分析。
访问后页面如图所示，不得不说做的还挺好。
该页面无论点击任何按钮，均要求登录steam。
点击后以弹框方式显示登录页面，并在地址栏中隐藏真实URL。
F12查看真实URL（样本：https[://]mollydo[.]com/login/home/?ref=https[://]csmav[.]com/csgo/#）
看到有登录框和二维码，打开Burp工具，抓包分析登录提交与二维码请求逻辑。
登录提交为明文提交“用户名:密码”至其接收端。（样本：https[://]mollydo[.]com/api/check-credentials）
请求包：
POST /api/check-credentials HTTP/2
Host: mollydo.com
Content-Length: 59
Sec-Ch-Ua-Platform: "Windows"
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/135.0.0.0 Safari/537.36
Accept: application/json, text/plain, */*
Sec-Ch-Ua: "Google Chrome";v="135", "Not-A.Brand";v="8", "Chromium";v="135"
Content-Type: application/json
Dnt: 1
Sec-Ch-Ua-Mobile: ?0
Origin: https://mollydo.com
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Sec-Fetch-Storage-Access: none
Referer: https://mollydo.com/login/home?ref=https%3A%2F%2Fcsmav.com%2Fcsgo%2F
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Priority: u=1, i
Connection: close
{"username":"骗子死全家","password":"骗子死全家"}
登录功能接收明文用户名、密码，并返回错误，令用户以为登录失败。
分析二维码请求，找到对应JS功能
请求包
GET /static/_next/static/chunks/728-86f8cb8db16a22b5.js HTTP/2
Host: mollydo.com
Sec-Ch-Ua-Platform: "Windows"
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/135.0.0.0 Safari/537.36
Sec-Ch-Ua: "Google Chrome";v="135", "Not-A.Brand";v="8", "Chromium";v="135"
Dnt: 1
Sec-Ch-Ua-Mobile: ?0
Accept: */*
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: no-cors
Sec-Fetch-Dest: script
Referer: https://mollydo.com/login/home?ref=https%3A%2F%2Fcsmav.com%2Fcsgo%2F
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
实际通过跨域请求s.team的二维码，获取登录信息。
通过行为判定该黑产团队为CS2盗号团队，且本事件中涉及链接均使用Cloudflare的CDN隐藏真实IP，无溯源价值。
整个盗号流程如下：
1、该团队先通过Steam好友添加新的好友关系，以“蠕虫”的方式在Steam好友间扩散。
2、在受害者通过好友申请后，通过言语诱导受害者点击钓鱼链接，并诱骗受害者在伪造的Steam登录页面登录。
3、获取Steam用户登录信息后，登录受害者CS2账号，盗取有价值的“饰品”、“枪皮”等虚拟资产。
总结事件，得到防骗真言：
不相信、不点击、不填写、不下载
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。