TRUEOSINT News

Скамонты продолжают удивлять своей ...небрежностью.
После критики из-за количества сотрудников в фейковом "Минцифры" они добавили новых людей в базу, что можно увидеть на доменах ROSFINMONITORING-PROV.RU и ROSKOMNADZORHELP.RU.

Теперь там уже 12 человек. Но и здесь не обошлось без ошибок. Оставим за кадром сам факт, что на домене, имитирующем Росфинмониторинг, размещена якобы база Минцифры. Гораздо интереснее другое: одному и тому же сотруднику дважды присвоены разные номера, вместо даты рождения указано количество лет, а части "сотрудников" номера вообще не присвоили - их обозначили кличками: "Тема", "Рыцык-Пуф" и "Санч-Рум". А ленту новостей полностью сломали.

В итоге попытка доработать легенду только сделала ее еще менее правдоподобной.

Домены заблокируем.
(Заблокирован за 3 часа 00 минут)

#фишинг #минцифры #росфинмониторинг

Мошенники запустили сайт, имитирующий сервис Минцифры для "поиска информации по абоненту" на домене CORP002.RU

На первый взгляд это выглядит как личный кабинет: пользователь вводит номер телефона, подтверждает его и должен получить результаты проверки. Но анализ скрипта показывает, что никакой реальной проверки сайт не проводит.

Вся логика работает на стороне браузера и завязана на localStorage. Скрипт ищет заранее сохраненные данные в ключе mincf_state, а затем перебирает технические профили администраторов: Шелюк Лилия, Исаева Елена, Дмитрий Золотарев, Силаев Максим и Новицкая Татьяна. Дальше скрипт сравнивает введенный номер телефона с номером, заранее записанным в профиле администратора. Если совпадения нет, пользователь видит сообщение: "Номер не найден в системе. Обратитесь к администратору".

После "успешного" входа сайт может показать заранее подготовленные блоки: переадресацию СМС, вход на Госуслуги через восстановление пароля, банковский чек и якобы подозрительные операции. Но эти результаты не формируются в момент проверки - они просто подставляются из заранее сохраненных данных.

По сути, мошенническая оболочка, которая имитирует проверку абонента и создает ощущение доступа к закрытым данным. Такая механика может использоваться для убеждения жертвы в правдоподобности легенды и дальнейшего вовлечения в схему с кодами из СМС, Госуслугами или банковскими операциями.

Домен заблокируем.

#фишинг #минцифры #госуслуги

Фишинг под видом чата корпоративной поддержки... Минцифры можно увидеть на домене MOIDOCUMENTYGOV.RU.

На сайте пользователю предлагают получить отчет по безопасности подключений, а затем - привязать устройство к входу в Госуслуги и удалить якобы подозрительные устройства, которые ранее могли входить в личный кабинет.

После этого жертву перенаправляют на фишинговую страницу входа в Госуслуги, где просят ввести учетные данные и сообщить код из SMS. Все введенные данные уходят мошенникам и могут использоваться для дальнейшей схемы, в том числе для звонков от имени фейковых регуляторов и служб поддержки.

Домен заблокируем.
(Заблокирован за 4 часа 24 минуты)

#фишинг #минцифры #госуслуги

После блокировки фейкового сайта «Федеральная проверка данных государственного служащего» от имени Минцифры он переехал на домен MIN-PROV.RU.

Что самое интересное - на сайте появилась база «сотрудников», которые, в дальнейшем будут использоваться мошенниками для звонков от имени госслужащих в рамках сценариев социальной инженерии.

Из заявленных 4 500 активных сотрудников в базе только двое. Зато оба - старшие специалисты Департамента цифрового контроля, с опытом работы на должности 6-8 лет и почти идеальным рейтингом.

Особенно интересно выглядит профиль Максима: согласно карточке, он был назначен на должность в субботу. Видимо, в этой структуре работают без выходных.

Есть и тестовый сотрудник из отдела тестирования с рейтингом 4.9/5 - похоже, даже во время тестирования он где-то накосячил.

При этом мошенники явно сделали домашнюю работу: обновили новости до более актуальной даты, учли замечания и заменили «менеджеров» на «специалистов».

Домен заблокируем.
(Заблокирован за 23 часа 49 минут)

#фишинг #минцифры #сотрудники

Только вчера мы писали о фейковой проверке мошенников под видом менеджеров Роскомнадзора, как сегодня появился аналогичный фейк - «Федеральная проверка данных государственного служащего» от имени Минцифры. Его можно увидеть на домене 24MINCIFRY.RU.

На сайте предлагается найти сотрудника по табельному номеру. При этом сообщается, что в системе якобы числятся 4500 активных сотрудников.

Но, видимо, базу еще не доделали - или мы плохо искали. Суть такого сайта, как обычно, в другом: убедить жертву, что с ней действительно общается «госслужащий», и перевести ее на конференцию в Zoom, которая аккуратно спрятана за кнопкой «Защищенная связь».

Домен заблокируем.
(Заблокирован за 00 часов 33 минуты)

#фишинг #минцифры #сотрудники