Investigação CPR: Falsificação da Temu para recolha de credenciais

A Check Point Research realizou uma investigação à conhecida aplicação Temu e, nos últimos três meses, foram registados mais de 800 novos domínios com o nome "Temu".

A Temu é uma loja internacional de comércio eletrónico que rapidamente ganhou destaque pois oferece produtos com desconto enviados diretamente aos consumidores sem distribuidores intermediários. Lançada em 2022 com propriedade da Pindouduo, atraiu um grande público, com 40% dos seus downloads provenientes dos Estados Unidos. Atualmente, a Temu está disponível em 48 países em todo o mundo, abrangendo a Europa, o Médio Oriente, o Sudeste Asiático e a Austrália.

De acordo com a AppMagic, a distribuição geográfica das descargas de Temu é a seguinte.

Fig. 1

Segundo a Check Point Software, fornecedor líder em soluções de cibersegurança para empresas e governos a nível mundial, a 7 de fevereiro de 2024, a Temu estava classificada como a aplicação de compras número um na Google Play Store e ocupava o segundo lugar na Apple App Store. Destaca-se como uma das aplicações mais descarregadas nos Estados Unidos e ganhou uma popularidade substancial no TikTok e noutras redes sociais. De acordo com um artigo recente da Bloomberg com fontes da Attain, os compradores mais frequentes da Temu situam-se na faixa etária dos 59 anos ou mais, enquanto os jovens entre os 18 e os 26 anos são os que menos compram na aplicação.

Fig. 1 Google Play Store

Fig. 2 Apple App Store

A popularidade do website deu origem a fraudes, incluindo falsos códigos de oferta.

Isto leva-nos ao ataque analisado. Os códigos Temu são como uma moeda - quanto mais alguém referir um código, mais recompensas recebe. As recompensas incluem descontos e artigos gratuitos.

Os investigadores do Harmony Email discutiram a forma como os hackers estão a utilizar falsas recompensas Temu para levar os utilizadores a fornecerem as suas credenciais. Nas últimas duas semanas, vimos dezenas desses golpes. Além disso, a Check Point Research informa que, nos últimos três meses, foram registados mais de 800 novos domínios com o nome "Temu".

Exemplo de email

O email começa com um aviso a dizer que o utilizador é o vencedor de janeiro. O email pretende vir do Temu rewards - mas, na verdade, o e-mail vem de um endereço de email onmicrosoft.com.

Existe uma imagem em branco com uma hiperligação no corpo da mensagem de correio eletrónico. Esta vai para uma página de recolha de credenciais.

Este é um email de phishing bastante simples. O objetivo é chamar a atenção do utilizador, afirmando que é um vencedor. Com Temu como "remetente", os autores da ameaça esperam que o nome da marca leve o utilizador a agir.

Claro que, se um utilizador atento visse que o endereço do remetente não tinha nada a ver com Temu, ou que as ligações não iam para uma página Temu, saberia que não devia entrar.

Técnicas

Tal como acontece com muitos esquemas de recolha de credenciais, os agentes de ameaças tentam tirar partido de nomes de marcas e das últimas tendências. Neste caso, o nome da marca é Temu.

Existem muitos sinais clássicos de que este e-mail não é o que diz ser. Em primeiro lugar, há muita urgência falsa em torno do facto de ser nomeado o vencedor de janeiro.

Em segundo lugar, a mensagem de correio eletrónico vem de um site genérico onmicrosoft.com, não da Temu. Terceiro, a imagem não carrega, fica em branco. E o link nessa imagem não vai para uma página da Temu, mas sim para um site de phishing.

No entanto, mesmo as ameaças que parecem mais óbvias podem passar pelas defesas e levar os utilizadores a carregarem nestes links maliciosos. É por isso que é importante enfatizar os princípios básicos com os utilizadores e garantir que têm uma segurança capaz de impedir todas as ameaças - simples e sofisticadas.

Melhores práticas: Orientações e recomendações

Para se protegerem contra estes ataques, os profissionais de segurança podem fazer o seguinte:

• Implementar uma segurança que utilize a IA para analisar vários indicadores de phishing;
• Implementar segurança com proteção robusta de URL para analisar os websites;
• Implementar uma segurança completa que também possa analisar documentos e ficheiros.