TRUEOSINT News

Простой шаблон мошеннической попытки загрузить вредоносное ПО на телефон можно увидеть на домене MAXTUBERUSSIA.LOL.
На сайте имитируется “подготовка” фотографии к просмотру, после чего пользователю предлагается скачать APK-файл размером почти 10 МБ.
Файл содержит признаки вредоносной активности. При этом для затруднения анализа антивирусными решениями архив был защищен паролем, из-за чего часть средств безопасности могла не получить доступ к его содержимому.

Домен заблокируем.
(Заблокирован за 34 часа 30 минут)

#фишинг #max #впо

Как и ожидалось, появились и мошеннические схемы, связанные с Roblox. Их шаблон можно увидеть на домене ROBLOXMAJOR.RU.

Легенда уже хорошо известна: пользователям предлагают пройти якобы «проверку» и получить 10 000 робуксов (около 100 долларов).

Для этого требуется пройти авторизацию в MAX, введя номер телефона и код из SMS, тем самым фактически передав доступ мошенникам.

В данном случае злоумышленники эксплуатируют сразу несколько факторов: требования школ установить мессенджер MAX и популярность Roblox среди детей.

Домен заблокируем.
(Заблокирован за 69 часов 39 минут)

#фишинг #max #roblox

UEBA - User and Entity Behavior Analytics

Казалось бы, перед нами просто новый шаблон фишинга под MAX с попыткой получить номер телефона и код для просмотра видео на домене SENDVIDEOSMAX.CLICK.

И сначала бросается в глаза логическое упущение: зачем указывать второй способ получения кода (через MAX), если для этого в него нужно сначала войти, используя первый способ.

Однако исходный код страницы оказался интереснее. В нем видно, что мошенники начали собирать подробную аналитику поведения пользователя и даже делятся наблюдениями в комментариях.

Фактически идет оптимизация “продукта”: они анализируют пользовательскую воронку, пытаются понять поведение жертв и снизить потери, которые, судя по комментариям, достигают 70%. Отдельно проверяются гипотезы, в первую очередь связанные с неудобством интерфейса. Так как "они растеривались и не нажимали"

Но не будем мешать их исследованиям - пусть продолжают думать, что проблема в кнопках.

Домен заблокируем.
(Заблокирован за 33 часа 41 минуту)

#фишинг #max #аналитика #ueba

Мошенники, работающие по схеме "Почтальон Печкин", продолжают улучшать свои шаблоны - это видно на домене CDEK-NALLPAY.RU.

На сайте пользователю предлагается ввести номер заказа СДЭК для его отслеживания - тот самый номер, который во время звонка сообщает мошенник, убеждая в наличии бесплатного подарка от какой-либо компании или "знакомого".

Если ввести номер, открывается якобы личный кабинет с информацией о доставке, который, судя по всему, еще не доработан. Для получения заказа требуется загрузить копию паспорта, однако соответствующие кнопки не работают.

Кроме того, заметны несостыковки с датами: текущая дата указана только как дата создания, тогда как в остальных полях фигурирует февраль 2025 года.

Домен заблокируем.
(Заблокирован за 28 часов 27 минут)

#фишинг #сдэк #cdek #печкин

Мошенники, работающие по схеме "ошибочные переводы", начали использовать и целевые сайты, что можно наблюдать на домене ONLINE-SBERBANK24.RU.

На сайте размещен PDF-файл, имитирующий чек перевода денежных средств по номеру телефона. Фейковость данного документа определяется не только по метаданным (дата создания - 2025 год), но и по содержанию. В частности, указана формулировка о том, что деньги может вернуть только получатель, что не соответствует действительности, а также сама подача этой информации выглядит нехарактерной для банковских документов.

В результате потенциальной жертве предоставляется "доказательство" перевода и выдвигается требование вернуть деньги на другой номер. Это может привести не только к потере денежных средств, но и к дальнейшему развитию схемы - например, к звонку от псевдоправоохранительных органов с утверждением, что перевод якобы был связан с финансированием терроризма.

Домен заблокируем.
( Заблокирован за 120 часов 15 минут)

#фишинг #сбер #перевод #sber #сбербанк