【安全资讯】钓鱼平台'Lucid'引发iOS和Android短信攻击浪潮

概要：

近期，名为'Lucid'的钓鱼即服务（PhaaS）平台针对88个国家的169个实体发起了大规模的短信攻击，利用iMessage和RCS技术发送精心制作的信息。该平台由中国黑客组织'XinXin'运营，自2023年中期以来，已成为网络犯罪分子的热门工具，影响范围广泛，给用户带来了严重的安全威胁。

主要内容：

'Lucid'平台通过订阅模式向其他威胁行为者出售服务，提供超过1000个钓鱼域名和定制的钓鱼网站。研究人员指出，'XinXin'还使用Darcula v3平台，显示出两者之间可能的联系。该平台声称每天发送10万条短信，利用RCS和Apple iMessage的端到端加密特性，成功绕过传统的垃圾邮件过滤器。

Lucid的攻击机制自动化，主要通过短信诱饵分发可定制的钓鱼网站。其使用的设备农场大规模发送短信，iMessage使用临时Apple ID，而RCS则利用运营商特定的验证缺陷。钓鱼信息通常伪装成运输、税务提醒或未支付的通行费，具有定制的品牌标识和符合目标受众的语言。

受害者点击钓鱼链接后，会被重定向到假冒的政府或私营机构的登录页面，旨在窃取个人和财务信息。Lucid平台内置信用卡验证器，能够测试被盗卡的有效性，成功的信用卡会被出售或直接用于欺诈。这种钓鱼平台降低了网络犯罪的入门门槛，提高了攻击的成功率，给网络安全带来了新的挑战。