TRUEOSINT News

Финальную страницу для скачивания вредоносного Android-файла можно увидеть на нескольких доменах с основой в название CDN-CLOUDS.RU.

На самом сайте нет никаких пояснений, что это за приложение. Вероятно, злоумышленники планируют использовать ВПО в разных мошеннических сценариях, поэтому им нужна универсальная финальная страница, на которую пользователь попадет после социальной инженерии и с которой скачает нужное приложение.

Интересная деталь - на сайте указано, что после достижения лимита скачиваний пользователю будет выдаваться следующая сборка в очереди. Это может означать, что злоумышленники используют ротацию APK-файлов: ограничивают распространение одной сборки, затем автоматически подменяют ее следующей. Такая схема может помогать обходить детекты, снижать скорость блокировки конкретного образца и тестировать разные версии ВПО на реальных жертвах.

VirusTotal классифицирует файл как банковский троян. При этом образец выглядит достаточно свежим: на момент проверки его детектируют не все антивирусные движки.

Домен заблокируем.
(Заблокирован за 25 часов 38 минут)

#фишинг #впо

Очередной фишинговый шаблон под MAX можно увидеть на домене IDENTIFYMAX.TOP.

На сайте пользователя просят подтвердить, что он не робот. Однако вместо привычной капчи ему предлагают ввести номер телефона и подтвердить его SMS-кодом - конечно же, «для голосования».

Мошенники, как обычно, не слишком заботятся о логике сценария и текста: они массово создают разные варианты шаблонов в надежде, что какой-то из них сработает и его можно будет дальше масштабировать.

Домен заблокируем.
(Заблокирован за 64 часа 11 минут)

#фишинг #макс #max #голосование

Мошенники, которые не заморачиваются с проработанными шаблонами, используют максимально простые варианты, пытаясь компенсировать отсутствие ресурсов «оригинальной» идеей (по их мнению).
Это можно увидеть на домене RKNAUTORIZE.RU, где, судя по названию, предлагается авторизоваться в Роскомнадзоре через Госуслуги.

При этом отправка введенных данных в Telegram пока не реализована - вероятно, у злоумышленников возникли сложности и на этом этапе.

Домен заблокируем.
(Заблокирован за 156 часов 35 минут)

#фишинг #ркн #роскомнадзор #госуслуги

Мошенники, работающие по схеме взлома «Госуслуг», решили усложнить шаблон и сменить целевую аудиторию.

На домене SOGAZ-ZOV.RU размещено предложение помощи участникам СВО якобы от страховой компании «Согаз», которая действительно является официальным страховщиком ВС РФ. При переходе на сайт реализована имитация авторизации через «Госуслуги», после чего появляется всплывающее окно с демонстрацией фейкового взлома и «выгрузки» документов.

Фактически заход на сайт пользователя передается мошенникам, через Telegram. Также стоит отметить, что злоумышленники используют номер формата 8-800, который отображается на фишинговой странице для повышения доверия.

Домен заблокируем.
(Заблокирован за 6 часов 41 минуту)

#фишинг #госуслуги #согаз

Часть мошеннической схемы можно увидеть на домене BEELINE-ACTIVATION.RU.

На сайте пользователю предлагают «в целях безопасности» подтвердить активацию карты Билайн. При этом номер телефона вводить не требуется, а код подтверждения можно указать любой. Это может указывать на то, что схема построена вокруг социальной инженерии в режиме онлайн - во время разговора с потенциальной жертвой.

Дополнительно на это указывает формулировка в шаблоне: код якобы отправлен сотруднику. Вероятно, речь идет о человеке, с которым жертва в этот момент общается по телефону или в мессенджере и которому сотрудник должна продиктовать код.

Возможной целевой аудиторией могли стать пользователи MAX из базы, спарсенной 20.11.2025, в части абонентов Билайн.

Домен заблокируем.
(Заблокирован за 5 часов 11 минут)
#фишинг #билайн