TRUEOSINT News

Самый медленный скамонт добрался и до вредоносного ПО под видом Android-приложения для проверки наличия бензина — пример можно увидеть на домене BENZINTAM.RU
На сайте пользователю предлагают скачать APK и установить приложение, которое, судя по всему, должно было использоваться для распространения вредоносного ПО. Правда, долго пожить ему не дали: сканеры REG.RU оперативно определили подозрительный файл и обезвредили его, поэтому сейчас вместо APK скачивается страница ошибки.
В качестве реквизитов на сайте даже указан ИНН 1655471820, который принадлежит АНО ДПО «Институт нейропсихологии», а вовсе не несуществующему «ООО Гдебенз».
Особенно прекрасно, что сам создатель шаблона оставил в комментариях напоминание о необходимости заменить данные компании. Видимо, заказчик убедил его, что сайт готовится исключительно для законной и благородной деятельности, а реквизиты можно будет поправить когда-нибудь потом.
Настоящий сервис, конечно, выглядит иначе и находится на официальном сайте ГдеБенз. Его приложения распространяются через легальные магазины приложений.

#фишинг #впо #гдебенз #бензин

Скамонты-«опросники» решили переключиться с банков из топ-5 на следующих участников рейтинга. Пример можно увидеть на домене MYGIFT-OPROS.RU.
Сценарий стандартный: жертве предлагают пройти опрос, после чего просят ввести номер телефона, данные банковской карты и код из СМС — все это, разумеется, отправляется мошенникам.
Но у этого шаблона появилась неожиданная особенность: пройти опрос может только клиент Совкомбанка. Раньше такого ограничения не было — скамонты принимали данные карты клиентов любых банков.
При этом в настройках сайта прописаны аналогичные опросы для Сбера и ВТБ, однако сегодня выбор скамонта пал именно на Совкомбанк.
Жертв привлекают через рекламу в приложении Likee — популярной платформе коротких видео с заметной долей подростковой аудитории.

Домен заблокируем.
(Заблокирован за 7 часов 37 минут)

#фишинг #совкомбанк #likee

Новый шаблон «компенсации за потерянную посылку» на складах Wildberries можно увидеть на домене SVO-GEROI-INFO.RU (и еще с десяток однотипных, но со старыми шаблонами).
Скамонты, как обычно, запутались в соответствии домена и содержимого сайта, и этот случай исключением не стал. Но над самим шаблоном они все-таки немного постарались и даже написали действующий номер поддержки мошенников.
После нажатия на кнопку «Оформить компенсацию» и перед привычным сообщением о том, что ваш аккаунт на Госуслугах якобы взломан, кому-то из скамонтов (вожаку стада) пришла идея сделать хотя бы минимальный логический переход от Wildberries к Госуслугам. Для этого добавили промежуточную страницу, где пользователю предлагается «подтвердить личность».
В реальности такой сценарий, конечно, так не работает, но видно, что скамонт старался сделать легенду чуть менее бессвязной.

Домен заблокируем.
(Заблокирован за 5 часов 44 минуты)

#фишинг #wb #wbtrack #wildberries #госуслуги

Скамонты наконец начинают просыпаться и пытаются запрыгнуть в уже набравшую обороты волну скама в отношении клиентов OZON и Wildberries. Свежие примеры можно увидеть на доменах:
OZON-MARKET-ORDERPAID.RU
OZON-MARKETPLACE-ORDER.RU
WILDBERRIES-ORDERPAID.RU
Сначала жертву под предлогом выплаты компенсации заманивают на сайт, если мошенникам известно ее имя, его подставляют в форму, имитирующую уведомление о взломе «Госуслуг». После этого пользователю сообщают, что его аккаунт взломан, и предлагают срочно связаться с «поддержкой» по указанному номеру телефона.
Недалекие скамонты для большей достоверности даже прописали gosuslugi.ru в title страницы — видимо, рассчитывая, что одной строчки в заголовке браузера достаточно, чтобы окончательно превратить сайт в «Госуслуги», а еще добавили фейковую проверку биометрии.
Дальше сценарий зависит от того, какие данные уже есть у мошенников: оператор либо ждет входящего звонка от жертвы, либо, если ее номер телефона известен заранее, перезванивает самостоятельно.

Домен заблокируем.
(Заблокирован за 8 часов 37 минут)

#фишинг #скамонт #ozon #wb #wildberries #госуслуги

Имитацию сервиса «Яндекс Метрика» для продажи интернет-сайта через демонстрацию поддельной статистики посещаемости можно увидеть на весьма удачном домене — METRIKA-YANDEX.RU.
На сайте начинающий интернет-предприниматель заботливо разместил красивую картинку со статистикой за три месяца для очередного клона онлайн-казино. Видимо, решил, что хороший бизнес начинается не с трафика, а с красивого скриншота.
Правда, при ближайшем рассмотрении магия немного рассеивается. Номер счетчика «Метрики» не соответствует счетчику, установленному на самом продаваемом сайте. А показатель в 93% трафика из поисковых систем выглядит особенно "убедительно" для ресурса, который сами поисковики практически не замечают.
Ну и небольшой штрих к портрету независимой аналитики: сайт с «Метрикой» и сам продаваемый ресурс размещены на одном хостинге.
В общем, если настоящих посетителей нет, всегда можно нарисовать тех, которые очень хотели зайти.

Домен заблокируем.

#скам #яндексметрика