TRUEOSINT News

Полгода прошло с момента последней активности фейковых перекупщиков авто, которые предлагали перегнать машины из Европы под заказ через Минск.

Характерной особенностью этой схемы было создание фейковых отзывов, имитирующих Яндекс Карты.

Тогда мы получили несколько обращений от жертв с просьбой предоставить дополнительные данные по этой группе.

И вот с наступлением весны появились новые “подснежники” - уже на новом домене YANDEX-MAP.ONLINE и под новой компанией ООО “Атакарс”.

#фишинг #яндекс #атакарс

Майские праздники отправляют родителей на дачи, а детей - в планшеты.

Мошенники тоже решили успеть к этому периоду и запустили приманки с “раздачей” читов и бонусов для популярных игр Brawl Stars и Standoff 2. Такие шаблоны можно увидеть на доменах MAXXXO.RU и VVMAXXX.RU.

Судя по коду страниц, это переделанные “на коленке” фишинговые шаблоны под MAX, собранные на базе более ранних заготовок под Telegram. Причем есть вероятность, что механизм получения кода работает некорректно: похоже, менялся в основном текст, а не вся логика авторизации и обработки кода.

Отдельно интересно, что злоумышленники добавили собственную экранную клавиатуру. Вероятно, это попытка обойти ранее выявленную проблему с перекрытием поля ввода и не тратить время на полноценную доработку интерфейса.

Домены заблокируем.
(Заблокированы за 2 часа 48 минут)

#фишинг #max #brawlstars #standoff2

Мошенники, использующие легенду с видео из MAX, не стоят на месте. Новый пример можно увидеть на домене MAX-VIDEOS.SITE.

На сайте размещена более проработанная имитация площадки для просмотра видео. Сценарий снова построен вокруг ДТП, однако злоумышленники немного доработали маскировку вредоносного файла: вместо очередного dtp.apk теперь используется имя VID_01052026_134423.mp4.apk.

Такой формат создает впечатление обычного видеофайла, хотя фактически пользователю предлагают скачать вредоностное APK-приложение.
По данным проверки в VirusTotal, файл вызывает срабатывания антивирусных решений из-за вредоносного кода внутри. Его установка может привести к передаче управления телефоном мошенникам и последующему компрометированию данных пользователя.

Домен заблокируем.
(Заблокирован на 5 часов 15 минут)

#фишинг #впо #макс #max #видео

Новый шаблон фишинга под видом "Единого реестра МО РФ" можно увидеть на домене POISKBAZA.RU и BAZA-POISK.RU.

На сайте утверждается, что сервис якобы имеет доступ к закрытым базам госпиталей, МЧС и волонтерских организаций, а данные предоставляются на основании Федерального закона "О гражданской обороне". Уже само такое обоснование выглядит странно и должно вызывать вопросы.

После ввода ФИО сайт ожидаемо "находит" информацию, но затем сообщает, что она является секретной. Для получения деталей пользователю предлагают указать контактные данные. Эти сведения, попадают в базу мошенников и могут использоваться для последующего обзвона по уже известным сценариям - например, с легендой о награждении через военкомат.

Отдельно обращает на себя внимание, что для сохранения введенных данных используется CRM-система в доменной зоне .RU, а не как обычно в Telegram.

Домен заблокируем.
(Заблокирован за 26 часов 54 минуты)

#фишинг #трампнаш #мчс

UEBA-исследование продолжается: мошенники не стали сильно мудрить с названием домена и для следующего шаблона выбрали VIDEOSEND-MAX.CLICK.

На сайте представлен новый сценарий: перед тем как показать пользователю видео якобы из личного сообщения, ресурс имитирует проверку "безопасности" мессенджера MAX. По результатам этой проверки оказывается, что у пользователя якобы не установлен пароль.

После этого ему предлагают установить пароль по инструкции. Фактически же пользователь самостоятельно создает и передает этот пароль мошенникам, что дает им возможность получить доступ к аккаунту.

Домен заблокируем.

#фишинг #max #ueba