TRUEOSINT News

Мошенники, использующие легенду с видео из MAX, не стоят на месте. Новый пример можно увидеть на домене MAX-VIDEOS.SITE.

На сайте размещена более проработанная имитация площадки для просмотра видео. Сценарий снова построен вокруг ДТП, однако злоумышленники немного доработали маскировку вредоносного файла: вместо очередного dtp.apk теперь используется имя VID_01052026_134423.mp4.apk.

Такой формат создает впечатление обычного видеофайла, хотя фактически пользователю предлагают скачать вредоностное APK-приложение.
По данным проверки в VirusTotal, файл вызывает срабатывания антивирусных решений из-за вредоносного кода внутри. Его установка может привести к передаче управления телефоном мошенникам и последующему компрометированию данных пользователя.

Домен заблокируем.
(Заблокирован на 5 часов 15 минут)

#фишинг #впо #макс #max #видео

Простой шаблон мошеннической попытки загрузить вредоносное ПО на телефон можно увидеть на домене MAXTUBERUSSIA.LOL.
На сайте имитируется “подготовка” фотографии к просмотру, после чего пользователю предлагается скачать APK-файл размером почти 10 МБ.
Файл содержит признаки вредоносной активности. При этом для затруднения анализа антивирусными решениями архив был защищен паролем, из-за чего часть средств безопасности могла не получить доступ к его содержимому.

Домен заблокируем.
(Заблокирован за 34 часа 30 минут)

#фишинг #max #впо

Финальную страницу для скачивания вредоносного Android-файла можно увидеть на нескольких доменах с основой в название CDN-CLOUDS.RU.

На самом сайте нет никаких пояснений, что это за приложение. Вероятно, злоумышленники планируют использовать ВПО в разных мошеннических сценариях, поэтому им нужна универсальная финальная страница, на которую пользователь попадет после социальной инженерии и с которой скачает нужное приложение.

Интересная деталь - на сайте указано, что после достижения лимита скачиваний пользователю будет выдаваться следующая сборка в очереди. Это может означать, что злоумышленники используют ротацию APK-файлов: ограничивают распространение одной сборки, затем автоматически подменяют ее следующей. Такая схема может помогать обходить детекты, снижать скорость блокировки конкретного образца и тестировать разные версии ВПО на реальных жертвах.

VirusTotal классифицирует файл как банковский троян. При этом образец выглядит достаточно свежим: на момент проверки его детектируют не все антивирусные движки.

Домен заблокируем.
(Заблокирован за 25 часов 38 минут)

#фишинг #впо

Новый шаблон внедрения вредоносного ПО на телефон от имени "Лукойл" можно увидеть на домене LUKOIL-TALON.RU.

На сайте пользователю предлагают скачать .apk-файл, разумеется, уже зараженный, под видом приложения для экономии на заправках. При этом утверждается, что всего за один день существования сайта приложение якобы установили более 124 000 пользователей.

Чтобы продлить срок жизни вредоносного домена, мошенники добавили примечание о том, что сайт не является официальным ресурсом бренда или АЗС, а размещенная на нем информация носит исключительно ознакомительный характер.

Домен заблокируем.
(Заблокирован за 5 часов 11 минут)

#фишинг #впо #лукойл

Улучшенный вариант фишинга с видео ДТП, якобы отправленного от имени Госавтоинспекции, можно увидеть на домене MVDDTP.CLICK.

Здесь уже есть подобие интерфейса, техническая информация и даже счетчик просмотров, который меняется то в большую, то в меньшую сторону, что само по себе вызывает сомнения - кто именно эти 20-40 человек, якобы просматривающих материалы Вашего дела.

Мошенники предусмотрели даже всплывающее окно от имени Госавтоинспекции. Ссылка на этот фишинг, разумеется, рассылается через MAX.

Открыть запись предлагается только на Android, и, конечно, в итоге пользователю подсовывают вредоносный .APK-файл, что подтверждается данными VirusTotal.

Домен заблокируем.

#фишинг #дтп #впо #max #госавтоинспекция #гибдд