TRUEOSINT News

Попытку распространения вредоносного ПО на Android-смартфоны можно увидеть на домене APP-CDEK-ONLINE.RU.

На сайте пользователю предлагают установить якобы приложение CDEK для отправки, отслеживания и оплаты посылок. На практике для этого нужно загрузить на телефон вредоносный APK-файл. Версия для iPhone, как обычно в таких схемах, временно недоступна.

VirusTotal подтверждает риск: файл cdek.apk детектируется 10 из 65 антивирусных движков. Среди меток - trojan, adware, banker, а популярный threat label указывает на trojan.bankerscf/fakeinst

Домен заблокируем.
(Заблокирован за 1 час 03 минуты)

#фишинг #впо #apk #cdek #сдэк

«Банда дающего Бобра», похоже, разваливается. Об этом можно судить по домену SDFGDSFGSDGHJ.RU.

На сайте используется уже знакомый шаблон: пользователям предлагают установить Touch VPN Premium, вероятно, для доступа к Telegram. При этом сначала требуется указать номер Telegram, который, по логике самой схемы, не должен работать до установки VPN.

Отдельного внимания заслуживает то, что омский «дающий Бобер» @boberworkaet заморозил свой аккаунт Telegram. В банде, судя по всему, остались только @INSU_LINED и @KHIDIRKARA. Они, похоже, решили продолжить охоту на пользователей, готовых вводить номер телефона и код Telegram на подозрительных сайтах с еще более подозрительными доменами.

Сам домен тоже выглядит показательно: набор букв похож на результат процесса, который пошел не по плану. Старшие остались недовольны, и в воспитательных целях просто приложили головой к клавиатуре одного из оставшихся участников банды.

Домен заблокируем.

#фишинг #bober #vpn #telegram

Мошенники решили протестировать новый шаблон «Базы данных сотрудников» на домене MIN-HELP.RU.

Количество «сотрудников» сократили до пяти, но ФИО оставили прежними. Должность тоже не изменилась: «Старший менеджер отдела по противодействию финансированию терроризма».

Из нового — теперь дежурный сотрудник назначается автоматически, а в title забыли убрать «Тест компания».

Главное достижение — попытка замаскировать домен под любое министерство через MIN-HELP. Правда, снова не учли, что Росфинмониторинг — это служба, а не министерство.

Домен заблокируем.
(Заблокирован за 14 часов 09 минут)

#фишинг #росфинмониторинг

SCaaS — Scam-as-a-Service

Внутреннюю панель фишинговой платформы для кражи аккаунтов MAX можно увидеть на доменах OPEN-MAX.RU и LOGMAX.ONLINE.

По интерфейсу видно, что это полноценная система для управления атаками: в панели есть разделы со статистикой, ссылками, шаблонами фишинговых страниц, live-перехватом, аккаунтами, доменами, прокси и настройками. Также предусмотрены инструменты для создания шаблонов, проверки полученных данных и администрирования инфраструктуры.

Появление таких платформ показывает, что фишинг MAX становится более организованным и массовым. При этом низкое качество отдельных шаблонов и заметные ошибки в оформлении указывают на конвейерный подход и невысокий порог входа для злоумышленников.

Централизация фишинговых доменов в одном интерфейсе упрощает не только управление атаками, но и противодействие им: такие ресурсы легче выявлять и направлять на пакетную блокировку.

Выявленные уникальные триггеры системы будут добавлены в поисковые алгоритмы для дальнейшего обнаружения схожих фишинговых ресурсов.

Домены заблокируем.

#фишинг #max #scaas

Скамонты продолжают путать MAX и Telegram. Очередной пример можно увидеть на домене PROVERKAMAX.XYZ.

На сайте пользователю предлагают получить в подарок Toy Bear от Telegram, для чего требуется пройти верификацию на фишинговом сайте.

Однако после ввода номера появляется сообщение, что код придет либо в SMS, либо в MAX. Видимо, авторы шаблона по-своему трактуют базовый принцип информационной безопасности: передавать логин и пароль через разные независимые каналы.

Домен заблокируем.

#фишинг #max #telegram