Wangiri & Internationaler Betrug bei der Aufteilung der Einnahmen

Die Betrugsarten IRSF und Wangiri verursachen enorme Verluste für Verbraucher und Netzbetreiber. Diese Arten von Betrug sind nicht besonders raffiniert oder kompliziert in der Ausführung.

Vor etwa 13 Jahren kontaktierte mich ein guter Freund von mir, der in der Gegend, in der ich lebe, für die Bekämpfung der organisierten Kriminalität zuständig war. Seine Organisation kämpfte auch gegen Internetkriminalität und arbeitete eng mit anderen Staaten zusammen, indem sie Informationen austauschte, um böse Akteure zu fangen. Eines Tages rief er mich an und fragte mich, ob ich einem seiner Staatsanwälte helfen könnte, zu verstehen und einem Richter zu erklären, wie jemand etwa 5 Millionen USD durch einen Betrug erlangt hatte, auf den sie zuvor nicht gestoßen waren. Sie hatten viele Nachrichten, IP-Pakete und Computerprotokolle abgefangen und waren einer Geldspur gefolgt. Da alles auf dem Papier stand, brauchte ich eine Weile, um es zu verstehen und zu erklären.

Der Betrüger war sehr gut organisiert und betrieb diesen Betrug etwa ein Jahr lang. Ich werde kurz erklären, was er getan hat:

Er nutzte eine Zero-Day-Schwachstelle in der Asterisk-Telefonanlage aus und begann, Hosts nach dieser Schwachstelle zu scannen. Sobald ein Rechner gefunden wurde, hackte er ihn, installierte ein Rootkit und einen IRC-Bot, der sich mit seinem IRC-Kanal verband, um Befehle zu empfangen. Jeder gehackte Rechner begann dann, nach anderen Rechnern mit derselben Schwachstelle zu suchen, wobei er sich wie ein Wurm verhielt und autonom arbeitete, alles mit automatisierten Skripten. Der Betrüger würde dann seinen IRC-Kanal überprüfen, um zu sehen, wie viele Rechner er vollständig kontrollieren kann.

Er besuchte eine der Tausenden von Websites, die für den Verkauf von IPRN (International Premium Rate Numbers) werben, und besorgte sich von dort einige Testnummern. Ich werde später erklären, wie diese funktionieren.

Dann gab er in seinem IRC-Kanal einen Befehl an alle seine gehackten Rechner aus, die Testnummern anzurufen und zu sehen, ob sie sich mit dem IPRN-Anbieter verbinden. Diejenigen, die sich erfolgreich mit dem IPRN-Anbieter verbinden konnten, wurden einer Gruppe hinzugefügt. Er reservierte Nummern aus diesen Bereichen und gab Befehle an die IRC-Bots aus, damit die gehackten Rechner diese Nummern anriefen (er parametrisierte die Skripte geschickt – z. B. wie viele Anrufe parallel erfolgen sollten, wie lange die Anrufe dauern sollten usw.).

Durch die Bezahlung durch den IPRN-Anbieter verdiente er etwa 5 Millionen USD und wurde schließlich aufgrund der Geldspur gefasst.

IPRN-Nummern sind entweder echte Nummern oder sogar gefälschte Nummern, die von IPRN-Anbietern bei Sprach-Transitunternehmen als ihnen gehörend beworben werden. In einer idealen Welt würde jeder Transitanbieter solche Nummern als rechtmäßig dem IPRN-Anbieter zugewiesen akzeptieren, obwohl dies nicht immer der Fall ist.

Wenn Sie von Ihrem Telefon aus eine dieser IPRN-Nummern anrufen und es auf dem Anrufweg einen Transitanbieter gibt, der eine Vereinbarung mit dem IPRN-Anbieter getroffen hat, wird der Anruf zu Ihnen oder zu einem IVR weitergeleitet und der IPRN-Anbieter zahlt Ihnen einen Teil des internationalen Zustellungsentgelts. In der Regel handelt es sich dabei um Ferngespräche, da die Betreiber über lokale und regionale Zusammenschaltungen verfügen, die nicht über diese Transit-Carrier abgewickelt werden.

IRSF gegen Wangiri

Die Technik, die ich zuvor beschrieben habe, war IRSF. Wangiri funktioniert auf ganz ähnliche Weise, aber Sie müssen keine Rechner hacken. So würden Sie vorgehen:

1. Ermitteln Sie die Anrufpfade, die den IPRN-Anbieter erreichen würden (z.B. wissen Sie, dass IPRN-Nummern in Somalia den IPRN-Anbieter erreichen, wenn sie von T-Mobile US angerufen werden).
2. Reservieren Sie solche Nummern und erstellen Sie eine interessante IVR, die die Anrufer zum Verweilen am Telefon animiert.
3. Tätigen Sie Flash-Anrufe an so viele T-Mobile US-Nummern wie möglich, indem Sie die A-Nummer (CLI) so fälschen, dass sie wie die IPRN-Nummern aussieht.

Dann ist es ein Zahlenspiel. X Nutzer würden verpasste Anrufe von dieser somalischen Nummer sehen, Y% von ihnen würden zurückrufen, und sie hätten eine durchschnittliche Anrufdauer von Z Minuten. Der IPRN-Anbieter bezahlt dann Ihren Anteil an dem Anruf nach Somalia für X * Y% * Z Minuten. Wenn Sie die Variablen anpassen, können Sie eine beträchtliche Menge Geld verdienen.

Praktisches Beispiel

Ich meldete mich bei einem IPRN-Anbieter an, erhielt eine (unten anonymisierte) dänische Telefonnummer, die live geschaltet war, und rief sie an – es klingelte, bis ich eine Mailbox erreichte (eine Standard-Mailbox). Unten sehen Sie die Nummer (anonymisiert) und die Antwort des Live-Services. Zuvor hatte ich eine andere dänische IPRN-Nummer angerufen, auf die ein normaler Mitarbeiter antwortete

Ich habe die letzten Testanrufe auf der IPRN-Website überprüft und konnte meinen Anruf nicht finden. Das bedeutet, dass die Anrufe, die ich getätigt habe, den IPRN-Anbieter nicht erreicht haben, da sie nicht über einen der Transit-Carrier liefen, die eine Vereinbarung mit diesem Anbieter haben.

Es handelt sich also um eine beworbene IPRN-Nummer, aber mir wird ein normaler Tarif berechnet.

• Der IPRN-Anbieter sollte über Interconnects mit Transit-Carriern verfügen, damit diese Nummern an ihn weitergeleitet werden. In der Regel handelt es sich nicht um dynamische Preise, sondern um Standardpreise.
• Wenn ein Anruf aus Chile (insbesondere, wenn Sie einen Festnetz-VoIP-Dienst usw. nutzen) an diese dänische Nummer geht, ist es sehr wahrscheinlich, dass der Anruf mehrere Transitanbieter durchläuft.
• Wenn einer der Netzbetreiber eine Vereinbarung mit dem IPRN-Anbieter hat, wird der Anruf an diesen Anbieter weitergeleitet und ein IVR abgespielt. In der Regel sollte dies etwas Eingängiges sein, um Sie zu ermutigen, lange am Telefon zu bleiben.
• Je nach Tarif zahlt der Kunde die Gebühr für die Verbindung zu einem dänischen Handy (in der Regel nicht extra/premium).

Möglichkeiten, mit diesem Service Geld zu verdienen

1. Hacken von anfälligen IP-Telefonanlagen (wie veraltete Asterisk-Boxen). In diesem Fall würden Sie Testanrufe an IPRN-Testnummern von IPRN-Anbietern initiieren, um zu sehen, ob die Anrufe sie erreichen. Wenn dies der Fall ist, bedeutet dies, dass Anrufe zu diesem Ziel über einen Transitanbieter laufen, mit dem der IPRN-Anbieter einen Vertrag hat. Sie würden dann Ihre IPRN aus diesem bestimmten Bereich reservieren und so viele Anrufe wie möglich tätigen. Auf diese Weise erhält der Besitzer der gehackten Telefonanlage eine hohe Telefonrechnung, obwohl die Anrufe nirgendwo hingegangen sind (nur an die IVR des IPRN-Anbieters). Der Transitanbieter belastet das Netzwerk der gehackten Telefonanlage und teilt das Geld mit dem IPRN-Anbieter, der Sie (den Hacker) 50/50 oder wie immer der vereinbarte Prozentsatz lautet, bezahlt.
2. Wangiri – das funktioniert folgendermaßen:
   • Testen Sie in irgendeiner Form alle Premium-Nummern aus möglichst vielen Netzen. Alternativ, und einfacher, können Sie sich die Testanrufe auf der Website des IPRN-Anbieters ansehen (wobei das Datum des Anrufs und die tatsächliche IPRN-Nummer entfernt werden, die unter der Spalte DID angezeigt wird).
     
   • Betrachten wir zum Beispiel Anrufe nach Tadschikistan, die von russischen Tele2-Nummern aus getätigt werden. Sie wissen, dass Teilnehmer, die von Russia Tele2 nach Tadschikistan Mobile Beeline anrufen, über einen Transitanbieter gehen, der eine Vereinbarung mit diesem IPRN-Anbieter hat.
   • Sie erhalten von diesem IPRN-Anbieter eine IPRN für Tadschikistan Mobile Beeline, erstellen eine schöne IVR in Russisch, um die Leute in der Leitung zu halten.
   • Sie erhalten einen SIP-Dienst und beginnen mit der Generierung von Anrufen (z. B. Flash-Anrufe), die Sie sofort nach dem Klingelzeichen an zufällige russische Tele2-Nummern abbrechen, indem Sie die CLI der Nummer verwenden, die Sie vom IPRN-Anbieter erhalten haben.
   • Von den Zehntausenden von “verpassten Anrufen” rufen einige der Empfänger zurück, und einige bleiben länger in der Leitung oder nicht. Sie erhalten von diesem IPRN-Anbieter eine Vergütung von etwa $0,03/Minute.

   Ein einfaches Beispiel: Sie tätigen 100.000 Blitzanrufe, 20% der Empfänger rufen zurück und verbringen durchschnittlich 2 Minuten in der Leitung. Sie verdienen $1.200 – aber die Anrufer würden wahrscheinlich ~ $0,5/Minute zahlen, so dass sich der Gesamtbetrug auf $20.000 beläuft.

Wie TMT helfen kann

Wir arbeiten mit einigen Unternehmen zusammen, die so viele IPRN-Anbieterseiten wie möglich scrapen und eine Datenbank mit diesen Nummern erstellen. Zum Zeitpunkt der Erstellung dieses Beitrags beträgt die aktuelle Anzahl der Einträge in der IPRN-Tabelle 20.073.001, von denen 13.518.172 (67%) gültige Nummern sind.

Diese Datenbank kann als Download erworben oder über unseren Teleshield Fraud Service abgefragt werden.

Die Daten können verwendet werden, um Anrufe als Reaktion auf Flash-Anrufe von IPRN-Nummern zu identifizieren und zu blockieren, die Anrufdauer zu verkürzen, die Anzahl der Anrufe an IPRN-Nummern zu begrenzen und vieles mehr.