TRUEOSINT News

Продолжается охота за доступами сотрудников Сбера на доменах SBERDISKS.RU и SBERDISK.APP.
Сайты имитируют официальное облачное хранилище Сбера — SBERDISK.RU — и предлагают пользователю воспользоваться «внутренним» входом для сотрудников банка через СУДИР. При этом на настоящем ресурсе авторизация осуществляется через SberID.
После ввода учетных данных жертву перенаправляют уже на легальную ссылку SberDisk с фотографиями какой-то квартиры, создавая впечатление, что авторизация прошла успешно и нужный файл действительно открылся.
Сценарий стандартный: сотрудникам Сбера рассылают сообщения с предложением ознакомиться с файлом, маскируя фишинговую ссылку под легитимный ресурс банка. Но прежде чем посмотреть содержимое, сотруднику предлагают поделиться с мошенниками своими корпоративными учетными данными и сессией.

Домены заблокируем.

#фишинг #sber #сбер

Самые быстрые скамонты уже успели оседлать инфоповод вокруг концерта Канье Уэста в Санкт-Петербурге.
Один из первых примеров можно увидеть на домене YETICKETS.NET.
Судя по характерным артефактам в коде, скамонт решил не утруждать себя разработкой и привлек ИИ, предварительно убедив его, что речь идет, конечно же, исключительно об «учебном проекте». В результате на анонимном хостинге DarkVPS появился сайт по продаже билетов на Канье Уэста, где оплатить заветный проход на концерт предлагается переводом на криптокошелек в сети TRON.
Расчет довольно простой: на фоне ажиотажа потенциальная жертва должна настолько сильно захотеть попасть на концерт, чтобы не обращать внимания на такие несущественные детали, как отсутствие нормальных реквизитов продавца, договора, привычного эквайринга и вообще каких-либо внятных подтверждений того, что после перевода криптовалюты билет действительно появится.
Пока бизнес-модель начинающего билетного магната дает сбой: на текущий момент ни одного билета через сайт не приобрели. Похоже, даже ажиотаж пока не смог победить инстинкт самосохранения.

UPD.
Все-таки кто-то не удержался от соблазна и отправил быстрому скамонту 6 350 USDT в сумме - это примерно 540 тыс. рублей.
А вот читали бы наш канал...

Домен заблокируем.

#скам #фишинг #каньеуэст #kanyewest

Фишинг под видом подписки «Яндекс Плюс» можно увидеть на домене PODPISKA-242.RU.
На сайте с довольно приятным дизайном предлагается воспользоваться щедрой «акцией» - получить два года подписки всего за 1 рубль. Для оформления необходимо указать фамилию, имя и электронную почту, а самое главное - передать мошенникам данные банковской карты и код из СМС. Причем форма ориентирована именно на клиентов Сбербанка.
Скамонты даже не стали менять title страницы ввода банковских данных и оставили его от предыдущего шаблона - «Страница возврата средств».

Домен заблокируем.
(Заблокирован за 9 часов 38 минут)

#фишинг #яндекс #сбер

Самый медленный скамонт добрался и до вредоносного ПО под видом Android-приложения для проверки наличия бензина — пример можно увидеть на домене BENZINTAM.RU
На сайте пользователю предлагают скачать APK и установить приложение, которое, судя по всему, должно было использоваться для распространения вредоносного ПО. Правда, долго пожить ему не дали: сканеры REG.RU оперативно определили подозрительный файл и обезвредили его, поэтому сейчас вместо APK скачивается страница ошибки.
В качестве реквизитов на сайте даже указан ИНН 1655471820, который принадлежит АНО ДПО «Институт нейропсихологии», а вовсе не несуществующему «ООО Гдебенз».
Особенно прекрасно, что сам создатель шаблона оставил в комментариях напоминание о необходимости заменить данные компании. Видимо, заказчик убедил его, что сайт готовится исключительно для законной и благородной деятельности, а реквизиты можно будет поправить когда-нибудь потом.
Настоящий сервис, конечно, выглядит иначе и находится на официальном сайте ГдеБенз. Его приложения распространяются через легальные магазины приложений.

#фишинг #впо #гдебенз #бензин

Скамонты-«опросники» решили переключиться с банков из топ-5 на следующих участников рейтинга. Пример можно увидеть на домене MYGIFT-OPROS.RU.
Сценарий стандартный: жертве предлагают пройти опрос, после чего просят ввести номер телефона, данные банковской карты и код из СМС — все это, разумеется, отправляется мошенникам.
Но у этого шаблона появилась неожиданная особенность: пройти опрос может только клиент Совкомбанка. Раньше такого ограничения не было — скамонты принимали данные карты клиентов любых банков.
При этом в настройках сайта прописаны аналогичные опросы для Сбера и ВТБ, однако сегодня выбор скамонта пал именно на Совкомбанк.
Жертв привлекают через рекламу в приложении Likee — популярной платформе коротких видео с заметной долей подростковой аудитории.

Домен заблокируем.
(Заблокирован за 7 часов 37 минут)

#фишинг #совкомбанк #likee