TRUEOSINT News

Полгода прошло с момента последней активности фейковых перекупщиков авто, которые предлагали перегнать машины из Европы под заказ через Минск.

Характерной особенностью этой схемы было создание фейковых отзывов, имитирующих Яндекс Карты.

Тогда мы получили несколько обращений от жертв с просьбой предоставить дополнительные данные по этой группе.

И вот с наступлением весны появились новые “подснежники” - уже на новом домене YANDEX-MAP.ONLINE и под новой компанией ООО “Атакарс”.

#фишинг #яндекс #атакарс

Эфиский конь

Интересная ситуация складывается вокруг повторного взлома оренбургской ИТ-компании "Эфис-сервис", которая предоставляет IT-услуги и ПО для облачных систем крупным заводам и госучреждениям.

Напомним, по утверждению хакеров, первый инцидент произошел 13 февраля 2025 года. Тогда якобы было уничтожено 400 ТБ данных, размещенных на 14 физических серверах с 815 виртуальными машинами.

Второй взлом, по их же данным, произошел 21 апреля 2026 года. В результате, как заявляют злоумышленники, были уничтожены 45 серверов и 690 виртуальных машин, а также стерты 230 ТБ резервных копий и более 300 ТБ данных.

Сегодня хакерская группа, ранее заявлявшая о взломе "Эфис-сервис", опубликовала 30-минутную запись внутреннего совещания. Судя по содержанию, оно проходило офлайн между ИТ-руководством компании и командой, которая занималась аварийным восстановлением после инцидента.

По характеру записи можно предположить, что она была сделана с микрофона компьютера или …на диктофон одним из сотрудников, присутствовавших на совещании и находившихся рядом с руководителем. Отдельно обращает на себя внимание эпизод, когда участников попросили выйти и остаться только сотрудников бэк-офиса и разработки, однако запись на этом не прекратилась.

#утечка #efsystem #эфиссервис

Майские праздники отправляют родителей на дачи, а детей - в планшеты.

Мошенники тоже решили успеть к этому периоду и запустили приманки с “раздачей” читов и бонусов для популярных игр Brawl Stars и Standoff 2. Такие шаблоны можно увидеть на доменах MAXXXO.RU и VVMAXXX.RU.

Судя по коду страниц, это переделанные “на коленке” фишинговые шаблоны под MAX, собранные на базе более ранних заготовок под Telegram. Причем есть вероятность, что механизм получения кода работает некорректно: похоже, менялся в основном текст, а не вся логика авторизации и обработки кода.

Отдельно интересно, что злоумышленники добавили собственную экранную клавиатуру. Вероятно, это попытка обойти ранее выявленную проблему с перекрытием поля ввода и не тратить время на полноценную доработку интерфейса.

Домены заблокируем.
(Заблокированы за 2 часа 48 минут)

#фишинг #max #brawlstars #standoff2

Мошенники, использующие легенду с видео из MAX, не стоят на месте. Новый пример можно увидеть на домене MAX-VIDEOS.SITE.

На сайте размещена более проработанная имитация площадки для просмотра видео. Сценарий снова построен вокруг ДТП, однако злоумышленники немного доработали маскировку вредоносного файла: вместо очередного dtp.apk теперь используется имя VID_01052026_134423.mp4.apk.

Такой формат создает впечатление обычного видеофайла, хотя фактически пользователю предлагают скачать вредоностное APK-приложение.
По данным проверки в VirusTotal, файл вызывает срабатывания антивирусных решений из-за вредоносного кода внутри. Его установка может привести к передаче управления телефоном мошенникам и последующему компрометированию данных пользователя.

Домен заблокируем.
(Заблокирован на 5 часов 15 минут)

#фишинг #впо #макс #max #видео

Новый шаблон фишинга под видом "Единого реестра МО РФ" можно увидеть на домене POISKBAZA.RU и BAZA-POISK.RU.

На сайте утверждается, что сервис якобы имеет доступ к закрытым базам госпиталей, МЧС и волонтерских организаций, а данные предоставляются на основании Федерального закона "О гражданской обороне". Уже само такое обоснование выглядит странно и должно вызывать вопросы.

После ввода ФИО сайт ожидаемо "находит" информацию, но затем сообщает, что она является секретной. Для получения деталей пользователю предлагают указать контактные данные. Эти сведения, попадают в базу мошенников и могут использоваться для последующего обзвона по уже известным сценариям - например, с легендой о награждении через военкомат.

Отдельно обращает на себя внимание, что для сохранения введенных данных используется CRM-система в доменной зоне .RU, а не как обычно в Telegram.

Домен заблокируем.
(Заблокирован за 26 часов 54 минуты)

#фишинг #трампнаш #мчс