TRUEOSINT News

Целевой фишинг с попыткой внедрения вредоносного ПО можно увидеть на домене HELIXQR.RU.

На сайте клиенту по имени Клим (наверное) предлагают ознакомиться с результатами некоего исследования после взятия образца четыре года назад. Для этого необходимо скачать PDF-файл, который мошенники, судя по всему, еще не успели разместить.

Все это оформлено под шаблон бланка лабораторной службы «Хеликс», подлинность которого якобы подтверждена.
Похоже, начинающие мошенники решили монетизировать данные утечки компании.
Напомним, что утечка медицинской лаборатории HELIX произошла в 2023 году и содержала 7,3 млн записей, включая почти 1 млн email-адресов клиентов.

Домен заблокируем.
(Заблокирован за 2 часа 12 минут)

#фишинг #впо #хеликс #helix

Крокодил не ловится, не растет кокос

Немного доработанный, но уже стандартный шаблон с приманкой «новое видео ДТП на канале» можно увидеть на домене VIDEO-DTP-24.RU.

Сам файл скамеры еще не загрузили, зато уже сделали открытую админку, где отображается очень "информативная" статистика для сайта, который обычно живет не более 6 часов.
Видимо, эти скамеры - большие оптимисты.

В админ-панели им предлагается загрузить вредоносный файл. Также там показывается количество посетителей, нажатий на кнопки и модели телефонов, с которых пользователи взаимодействовали с сайтом.

Домен заблокируем.
(Заблокирован за 16 часов 52 минуты)

#фишинг #дтп #впо

Попытку распространения вредоносного ПО на Android-смартфоны можно увидеть на домене APP-CDEK-ONLINE.RU.

На сайте пользователю предлагают установить якобы приложение CDEK для отправки, отслеживания и оплаты посылок. На практике для этого нужно загрузить на телефон вредоносный APK-файл. Версия для iPhone, как обычно в таких схемах, временно недоступна.

VirusTotal подтверждает риск: файл cdek.apk детектируется 10 из 65 антивирусных движков. Среди меток - trojan, adware, banker, а популярный threat label указывает на trojan.bankerscf/fakeinst

Домен заблокируем.
(Заблокирован за 1 час 03 минуты)

#фишинг #впо #apk #cdek #сдэк

Розы от скамонта

Начинающие мошенники обычно не специализируются на конкретной схеме и экономят даже на инфраструктуре: на одном домене размещают сразу несколько шаблонов скама.

Пример можно увидеть на доменах XVIDEOTUBE.RU и ZVIDEOTUBE.RU, где установлен недоделанный шаблон «С вами поделились видео». Пользователю предлагают рОзархивировать архив и выдать какие-то разрешения для видео, но по факту скачивается обычный файл demo.txt (денег на готовый .apk видимо тоже нет, хватило только на дешевый скрипт).

При этом превью-картинка с аварией, которая якобы должна быть 18+, так и не отображается, хотя прописана в коде.

С некоторыми допущениями выбор таких доменов еще можно объяснить легендой про видео, но рядом лежит и заготовка под WB Travel - /wb_background/wb_travel.html, которую, судя по всему, скопировали сами и планировали доработать уже под фишинг, а как это относится к videotube...

Опасного контента пока нет, но будем следить за "бандой роз", их развитием и нетрудовыми успехами.

#фишинг #wb #wbtravel #впо #бандароз

Некоторые скамонты вообще не заморачиваются над легендой для установки вредоносного ПО. Такой пример можно увидеть на домене SPISKISVO (dot) XYZ.

На сайте размещены только надпись «СПИСОК», дата и кнопка «Посмотреть», при нажатии на которую скачивается зараженный APK-файл. Наличие вредоносной активности подтверждается детектами VirusTotal.

При каждом скачивании владельцу ресурса, судя по всему, отправляется уведомление в Telegram-аккаунт @pidorsukapizda. Судя по выбранному имени аккаунта, пользователь уже сам достаточно точно отразил отношение к себе со стороны окружающих.

Домен заблокируем.

#фишинг #впо