TRUEOSINT News

Мошенники, готовят новую схему к началу учебного года, что можно увидеть на домене MINOBRNAUKI.NET.
На сайте размещен шаблон старой версии ресурса Минобрнауки, актуальной еще на 2018 год. Судя по состоянию страницы, сейчас может идти подготовка клона для последующего использования в схемах социальной инженерии или классического фишинга — например, через поддельный личный кабинет, форму авторизации или обращения граждан.
Отдельно стоит отметить характерную деталь в файле robots.txt: индексация сайта поисковыми системами преднамеренно закрыта и будет открыта только после соответствующей команды. Это дополнительно указывает на то, что ресурс пока находится на этапе подготовки и ожидает полноценного «запуска».

Домен заблокируем.

#фишинг #минобразования

Скамонт, или туда и обратно

Интересный шаблон можно увидеть на доменах SBERKUDA.RU и SBERTUDA.RU.
На сайтах пользователю предлагается воспользоваться персональным помощником, для подбора отелей в различных городах России. Сейчас в демоверсии в качестве примера указана Тула.
Для авторизации предлагается использовать Sber ID, однако при попытке входа пользователь получает ошибку. Сам по себе такой способ авторизации обычно не вызывает опасений: в рамках корректной сессии сторонний сервис не получает данные, которые позволили бы злоумышленникам получить доступ к личному кабинету банка.
Но здесь внимание привлекает другое — неработающая авторизация и надпись: «Мобильный вход сохранен как резервный сценарий».
Это может указывать на подготовку более интересной схемы: пользователю намеренно демонстрируют неудачную попытку авторизации на официальном ресурсе Сбера, после чего предлагают воспользоваться «резервным» способом входа. А вот резервным вариантом уже может оказаться фишинговая форма, в которой попросят ввести данные для доступа к личному кабинету, например для оплаты отеля.
Пока непонятно, каким именно способом злоумышленники планируют привлекать потенциальных жертв, однако под эту схему уже, похоже, готовится отдельный пул доменов. Помимо указанных выше, зарегистрированы:
SBERKYDA.RU
SBER-KYDA.RU
SBER-TUDA-SUDA.RU
SBER-TYDA-SUDA.RU
Так что кто-то явно основательно готовится отправлять пользователей то «туда», то «сюда», ну а мы в случае выявления фишинга:

Домен заблокируем.

#фишинг #сбер #sber

Скам или банальная безответственность сотрудников профсоюзного комитета Морозовской ДГКБ ДЗМ?

Именно такой вопрос возникает при просмотре домена MOROZOPROS.RU.
На сайте сотрудникам больницы предлагают заполнить информацию о новогодних подарках для ребенка, указав в форме свои персональные и контактные данные, а также данные несовершеннолетних детей.
При этом на странице отсутствуют согласие на обработку персональных данных, описание целей их сбора, сроков хранения и порядка обработки.
Даже если это действительно внутренняя инициатива сотрудников профсоюза, реализация выглядит крайне опасной. Введенные пользователями данные сохраняются на сервере, после чего на электронную почту отправляется письмо с информацией о принятие заявки, которое также может содержать вредоностное ПО.
То есть фактически на сервере постепенно формируется база сотрудников больницы и их детей. И судя по реализации ресурса, в случае его компрометации получение этой базы хакерами вряд ли станет серьезным препятствием.
А база может получиться весьма интересной: сотрудники Морозовской детской больницы плюс данные их несовершеннолетних детей. Такой набор информации можно достаточно эффективно использовать в целевых схемах социальной инженерии — от персонализированного фишинга до звонков от имени администрации больницы, профсоюза, школ, кружков и других организаций.
И речь потенциально идет о значительном количестве людей: только медицинский персонал больницы составляет порядка 1 600 сотрудников.

О выявленном ресурсе оповещение по официальным контактам больницы направили.

(Удален за 2 часа 28 минут)

#фишинг #опрос #ГБУЗМДГКБДЗМ #морозовскаябольница

После блокировки хостинга WEBRU-MAX.PRO скамонты решили не только оперативно переехать, но и сменить шаблон фишинга - видимо, чтобы хотя бы окупить домен.
Теперь вместо развода детей, играющих в Roblox, расчет сделан на более взрослую аудиторию и ее фантазии.

На сайте предлагают перейти в канал в мессенджере MAX, где, по утверждению мошенников, собраны сливы популярных стримерш и блогерш.

Для получения доступа необходимо ввести номер телефона, код из СМС и код 2FA. Разумеется, никаких подобных каналов в MAX нет - введенные данные попадут к мошенникам, а пользователь лишится своей учетной записи.

Домен заблокируем.
(Заблокирован за 18 часов 47 минут)
#фишинг #max

Очередную попытку угона аккаунта в MAX можно увидеть на домене WEBRU-MAX.PRO.

На сайте предлагают поучаствовать в розыгрыше 10 млн Robux - внутриигровой валюты Roblox. Для этого пользователя просят ввести ник в игре, который мошенников, разумеется, не интересует, а затем - самое главное: номер телефона, код из СМС и код двухфакторной аутентификации.

Странно, что розыгрыш проходит в середине недели. Да еще и сами авторы сайта уверяют, что «раздача проверенная». Но чего еще ждать от скамонтов...

Домен заблокируем.
(Заблокирован за 7 часов 12 минут)

#фишинг #roblox #max