TRUEOSINT News

Сайт администрации Кировского округа Омска с системой электронной записи по компенсации стоимости установки газа на домене TICKETKAO.RU. Казалось бы, какие еще триггеры фишинга нужны: все предельно ясно — блокируйте.
Но нет.
Есть один главный признак фишингового ресурса - возможность воспользоваться им и передать свои данные. В нашем случае даже этого сделать нельзя: записаться в очередь сейчас невозможно, а значит, и оставить информацию через форму не получится.
Значит официальный.... Впрочем, разработчики сайта решили упростить задачу потенциальным мошенникам и просто выложили в открытый доступ данные, которые посетители оставляли ранее. В результате без какой-либо авторизации оказалась доступна информация о 940 талонах, включая 120 номеров телефонов, 16 ФИО и 882 IP-адреса.
Для мошенников улов, конечно, небольшой, но когда данные сами идут в руки, ими вполне могут воспользоваться. Причем даже сценарий социальной инженерии придумывать практически не нужно — администрация уже подготовила его сама:
«Здравствуйте, это администрация Кировского округа. Вы оставляли заявку на компенсацию стоимости установки газа. Ваша заявка подтверждена, вам положена выплата. Назовите номер карты для перечисления средств и код из СМС».
Оповещение администрации направлено.

#утечка #омск #газмяс

И еще один сайт, распространяющий вредоносное ПО, причем с максимально короткой аннотацией, можно увидеть на домене LOVIS-SPARK.RU.
На сайте предлагается скачать приложение для знакомств LoveSpark в виде APK-файла, который на деле является вредоносным банковским трояном.
Мошенники решили особо не заморачиваться ни с дизайном, ни с описанием: просто скачай и установи — а дальше сам поймешь, почему этого делать не стоило.

Домен заблокируем.
(Заблокирован за 5 часов 42 минуты)

#фишинг #впо #lovespark

Понемногу начинают появляться сайты, предлагающие скачать Grand Theft Auto VI еще до официального релиза. Один из примеров - GTA6-PLAY.RU.
Официальный выход GTA VI назначен на 19 ноября 2026 года. Сейчас Rockstar заявляет версии только для PlayStation 5 и Xbox Series X|S. Поэтому обещание уже сейчас скачать игру «для любых платформ» - приманка.
На сайте распространяется файл с незамысловатым названием DS-Setup.exe. Его размер — всего 73,06 МБ, что совершенно не похоже на полноценную современную AAA-игру.
Проверка показала, что это не GTA VI, а установщик Download Studio, а 30 из 69 антивирусных движков VirusTotal считают файл опасным.
Иными словами, под видом ожидаемой игры пользователю предлагают загрузчик нежелательного и потенциально вредоносного ПО.

Домен заблокируем.

#фишинг #впо #gta6 #virustotal

Мошенники, готовят новую схему к началу учебного года, что можно увидеть на домене MINOBRNAUKI.NET.
На сайте размещен шаблон старой версии ресурса Минобрнауки, актуальной еще на 2018 год. Судя по состоянию страницы, сейчас может идти подготовка клона для последующего использования в схемах социальной инженерии или классического фишинга — например, через поддельный личный кабинет, форму авторизации или обращения граждан.
Отдельно стоит отметить характерную деталь в файле robots.txt: индексация сайта поисковыми системами преднамеренно закрыта и будет открыта только после соответствующей команды. Это дополнительно указывает на то, что ресурс пока находится на этапе подготовки и ожидает полноценного «запуска».

Домен заблокируем.

#фишинг #минобразования

Скамонт, или туда и обратно

Интересный шаблон можно увидеть на доменах SBERKUDA.RU и SBERTUDA.RU.
На сайтах пользователю предлагается воспользоваться персональным помощником, для подбора отелей в различных городах России. Сейчас в демоверсии в качестве примера указана Тула.
Для авторизации предлагается использовать Sber ID, однако при попытке входа пользователь получает ошибку. Сам по себе такой способ авторизации обычно не вызывает опасений: в рамках корректной сессии сторонний сервис не получает данные, которые позволили бы злоумышленникам получить доступ к личному кабинету банка.
Но здесь внимание привлекает другое — неработающая авторизация и надпись: «Мобильный вход сохранен как резервный сценарий».
Это может указывать на подготовку более интересной схемы: пользователю намеренно демонстрируют неудачную попытку авторизации на официальном ресурсе Сбера, после чего предлагают воспользоваться «резервным» способом входа. А вот резервным вариантом уже может оказаться фишинговая форма, в которой попросят ввести данные для доступа к личному кабинету, например для оплаты отеля.
Пока непонятно, каким именно способом злоумышленники планируют привлекать потенциальных жертв, однако под эту схему уже, похоже, готовится отдельный пул доменов. Помимо указанных выше, зарегистрированы:
SBERKYDA.RU
SBER-KYDA.RU
SBER-TUDA-SUDA.RU
SBER-TYDA-SUDA.RU
Так что кто-то явно основательно готовится отправлять пользователей то «туда», то «сюда», ну а мы в случае выявления фишинга:

Домен заблокируем.

#фишинг #сбер #sber