近期高发支付宝、京东理赔，快递类诈骗，花3个小时控制诈骗犯的电脑
0x00
争得作者本人同意，附带链接进行转发
原文地址：https://mp.weixin.qq.com/s/y73XOIHZAWYIylaGXxmkdg
（现在直接在微信搜，都还有类似的，大家可以实践一下）
本文由浅黑科技和HACK学习联合发布
近期公众号出现了很多关于理赔类的诈骗，面向目标基本上宝妈
1
“喂，您好，请问是张XX女士吗？”
虽然平日里我也自称“防骗小能手”，但是当电话那头一个温柔而专业的女声念出我的名字时，我完全没意识到，电话线另一头是诈骗团伙，完全没往那个方向想。
我说，是。
对方说，您好，我是淘宝店铺强生的客服，您之前在我们这购买的卫生棉条您现在还在用吗？
我有些感到隐私被冒犯，就说：“你有什么事就直说。”当时也不知道为啥没直接挂断，兴许是我太有礼貌了，想着如果是求好评我再挂断，说不定有别的事呢。
“是这样的，这个产品很多顾客反馈说用了之后有瘙痒症状，我们拿去质检部门检测，也发现产品质量有问题，现在工商部门强制要求我们全部召回，您那边也别再继续使用我们这款产品了。”对方说。
卧槽，我心想，我特么正在用着，可是我好像也没感到什么不适，难道我是免疫体质……？（男生如果不懂卫生棉条是什么东西，可以想象你在网上买了一盒避孕套，用了之后店主打电话说这一批货上面都被扎了针孔）
正想着，对方说，近期会有快递小哥联系上门取件，请您留意一下，“您的地址是……对吗？”我说，是的。
确认地址之后，对方继续说：“我现在把钱赔付给您，可能会耽误您几分钟时间……”
疫情期间宅在家，本来也不忙，心想那就退钱吧。对方告诉我，理赔需要确认是我本人，得实名认证。
按照对方说的流程，我“打开微信——搜索公众号——输入8641——找到理赔8641——进入公众号界面——点击理赔退款——填写信息”。
填写时，对方还很体贴地提醒我：“您默默填写就好，不要念出来，我们这边电话是有录音的，小心别泄露了您的个人信息，填写时如果有什么疑问可以随时问我。”
填完信息，最后一项是收验证码，验证手机号，我输入完验证码，跳转到下一级页面，忽然提示我验证码已过期。
我告诉对方，对方问：“您是不是摁了两次获取验证码？”
我也记不清了，就说是。
第二条短信发过来，看到银行的提醒里的“骗子”两个字，我心里心里一震，终于警觉了！我特么终于警觉了！！！等等！怎么是我在给对方转账？
“您验证码收到了吗？”对方还在问。
“你是骗子吧？怎么是我在给你转钱？”我说。
对方还死不认账：“没有，是我在给你转钱……请问您短信收到了吗？”
挂掉电话后，我感觉找卖家核实索赔信息的真实性，转移银行卡里的钱、修改银行账户、淘宝、支付宝密码，因为之前在那个钓鱼页面里都填过。期间骗子不停地打过来电话，也不知是想继续行骗还是拖延时间，我赶紧将其拉黑。
之后，我通过微信举报，将“理赔8641”公众号投诉至关闭。在回顾整个过程，写下这些文字时，我仍是心有余悸。
2
上述是我在朋友圈看到的真实案例，我做了一些文字上的修改和叙述方式上的调整。
所以以后如果你和你的家人如果接到类似电话，直接挂断，掏出手机找官方客服，好吧？
这个骗局主要有三个骚点：
一、骗子把目标受害者的资料摸得一清二楚，包括姓名、电话、邮寄地址、购物详情，有备而来。
二、用话术塑造安全感，比如叮嘱目标受害者“不要把填的资料念出来”，其实是为了引导目标受害者把注意力放在“念出来”这件事上，从而忽略填写资料这件事本身的安全性，给人营造一种虚假的安全感：只要我不念出来，就是安全的。
就像是变魔术时引导观众注意力，或者有点类似于销售员问你想买这一款，还是那一款？不会问你想不想买。
三、提前准备好了“理赔8641”公众号和高仿真的钓鱼界面。
现在我们把注意力放在第三条。
我本来想搜索“理赔8641”，看看那个用来诈骗的公众号还在不在，却发现刚输入“理赔8”，下面就自动补全了一溜搜索内容，这说明以前有人这么搜过。
也就是说，除了“理赔8641”公众号，一定还有很多同样功能的诈骗公众号，被封了一个直接换用另外一个。并且上面那张图中弹出的每一个自动补全的搜索内容，背后都有至少一个被宰的受害者。
顺着这个思路，我在微信里搜索公众号“理赔”，想看看究竟有多少个这样的公众号。
起初全是保险行业相关的公众号，就像这样：
于是我倒了一杯茶一边喝一边慢慢往下划，划了半个钟头（此处用了夸张的修辞手法），接下来就是见证奇鸡的时刻。
数量非常多，一溜头像都是支付宝的图标。此处手动@支付宝。
也有一些不一样的，图标是快递。
又或者是“纸尿裤理赔中心”，听这些名字，你应该就能猜到骗子的剧本了吧？
这些账号大多是在2019年底至2020年4月份之间注册的，正好赶上大家宅在家里的这一段时间。
我点进“理赔中心0059”，公众号立马给我自动回复了一张二维码图片：
扫进去，是一个登录界面，让登录支付宝账号。
界面有模有样，最底下还有网站备案号。
其实是个钓鱼页面，输入的所有内容都会传到骗子那里。
怎么确认是钓鱼网站的呢？随手输个账号密码都能进去。（当然，也有钓鱼网站会拿着你的密码去真实的网站登录，可以做到必须输入正确的账号密码才能进）
进去之后会问你“退款银行”
选择之后会让你填写资料，包括卡号，身份证、网银密码之类的。
为什么要输入密码？它会告诉你要绑定“快捷退款”。
不过，他们会把银行卡密码称之为“退款密码”。
最后再收个手机验证码，流程就跑完了。
页面做得挺仔细，还要勾选同意一个服务协议，这观感，是正规网站没错了。/狗头
一般来说，到了这个页面，钓鱼团伙会守在后台，实时把受害者输入的短信验证码拿到真正的银行网站去尝试，所以一旦提交，钱就没了。
我把这个钓鱼网站的网址输入电脑，发现这么一句话：
**3
**
**
**
电脑启动，打开目标网址，然后在手机号处和银行卡信息填写处，尝试盲打，打入了XSS的payload，然后利用水坑钓鱼成功控制了诈骗分子的电脑
插入payload，不需要闭合标签，盲打就完事了
成功打到了后台以及Cookie信息，准备钓鱼
水坑钓鱼不做太多概述，已经是老生常谈了
4
目标上线，机器上有360安全卫士。
截图看一眼对方在做什么
然后在对面机器上翻到了一些资料，准备深入研究下
下图是从目标机器桌面上拿下来的文件
这些诈骗分子应该是从电商渠道或快递渠道买到了宝妈们的信息，然后去一个个联系去实施诈骗行为
诈骗分子还会用点卡和网游来洗钱
诈骗分子还有理赔话术，做的就和真的一样
进下后台看看先
目标的QQ
最后定位IP
最后问了朋友，云南边境的一些国家走的是我们国家的网络，所以这个云南的IP不一定是真实的位置，可能是在境外，到此为止，部分资料已移交给wj蜀黍
经过两天时间观察，我们已经知道了理赔类诈骗分子的套路：
1.诈骗分子会去购买快递或者电商数据，通过短信/电话方式联系受害者，关注公众号或者扫描二维码等等
2.诈骗分子会通过联系受害者，添加快递理赔客服微信号（我是某快递/JD/TB等理赔客服，现因XXX的一个包裹在运输中丢失了，按照我公司双倍理赔，诱导受害人添加诈骗分子理赔客服的微信，添加微信后就会让受害者识别二维码进行双倍理赔。）
3.诈骗分子会诱导受害人，告知需要查看芝麻信用，让受害人去从借呗借钱或其他贷款软件，然后提现到绑定的银行卡里面。
4.等受害人扫描后中国二维码就相当于自己把个人信息和银行卡信息填写了上去，然后诈骗分子会去真实银行网站重置受害人等网银密码并转账到他们自己到账户里或者去购买点卡以及其他到虚拟物品！
5.遇到主动联系你并想给你钱的，直接拉黑就完事了，天上哪会掉馅饼，只会掉陷阱给你去踩，所以不听不信不转账就对了
如何防范：
**
**
- 近期凡事要转账或者各种京东/淘宝/支付宝等等理赔到都不要理他，一律视为诈骗
- 微信扫描二维码到地址建议下拉看域名或者右上角复制链接到浏览器里面去看
- 宝妈们遇到此类诈骗记得先报警或者记得问问自己老公
昨日的一则案例：
遇到诈骗一定要报警：
1.能有机会帮你追回钱的只有警察蜀黍，其他人都帮不了你的，一定要相信警察蜀黍
2.警察蜀黍们也很忙，但是你的案件是肯定会被处理和跟进的，所以不用太着急
3.没有被骗钱的话，遇到了诈骗，建议发朋友圈或者其他信息告知更多人，避免亲友被骗
