TRUEOSINT News

Беги, Форрест, беги!
Данные пользователей и заказов Российского производителя спортивной одежды nordski.ru доступно на популярном Даркнет-форуме.
По утверждению хакеров - актуальность базы 2023 г.
База содержит данные более 7 000 пользователей и 3 500 заказов.
#утечка

Ойбой
Разбираться в чужом коде или переделывать скам-шаблон всегда тяжело. Казахские скамеры столкнулись с этой проблемой, когда решили использовать старую тему мошенничества на сайтах TELEGRAMUSKI.RU и TELEGRAM-3.RU
Одним из нюансов является то, что если раньше шаблон создавался под WhatsApp для каждой страны отдельно (например, WATSICON.RU, WATSICON.KZ), то сейчас, объединяя все в один сайт и меняя мессенджер, нужно учитывать его особенности. Ведь Telegram скрывает номер телефона, и целевая аудитория не сможет его увидеть, а значит и ввести.
После "взлома" Telegram, они просят оплатить работу символической суммой в 1000 рублей на карту Сбербанка. Однако по BIN-коду, указанному для оплаты (220028), это виртуальная карта МТС-банка.
Также предлагается перевести 1000 тенге на казахстанский номер телефона Билайн. Видимо, для местных жертв предлагается скидка, поскольку сумма намного меньше (чуть более 200 рублей), и вывод средств обходится дешевле.
#МТСбанк

Международное обозрение
Австралийские скамеры, охотящиеся на пользователей местного аналога Госуслуг (оригинальный сайт MY.GOV.AU), не проявляют особой разнообразности как в формировании шаблонов доменов, так и в автоматизации процесса.
Они принимают любые данные и отправляют их в группу Telegram.
Однако в этот раз они решили провести массовую атаку.
Обычно у нас такие домены держатся в сети не более суток, но вот эти существуют уже три дня, что является неким чудом.
LOGIN-GOV-HELP.ORG
MY-GOV-PORTAL.ORG
MY-GOV-LOGIN.ORG
LOGINGOVAUATO.ORG
LOGINGOVAUTH.ORG
GOVLOGIN-AU.ORG

То ли девочка, а то ли виденье.
Странный сайт GOSUSLUGI.XYZ уже несколько дней находится в сети.
Технически он не связан с Госуслугами. Иностранный регистратор домена, NS-запись - CLOUDFLARE.COM, которую обычно используется скамерами для сокрытия реального IP-адреса.
Однако сайт не проявляет никакой враждебности.
Почти все ссылки ведут на официальный ресурс, за исключением разделов "помощь" и "поиск и оплата начислений", где сайт обрабатывает запросы самостоятельно (не исключая, что сохраняя у себя), но запрашивает данные у официального источника.
Пользователям важно обращать внимание не только на домен, но и на доменную зону (которых более 1500), так как владелец в любой момент может заменить ссылки на свои, особенно под конкретную скам-рассылку.
#Госуслуги

Предупрежден - вооружен.
По новому домену OPLATA-SVO.RU кажется, что мошенники могут готовить новую фишинговую атаку, предлагая выплаты участникам СВО или их родственникам.
Пока неясно, каким именно способом это будет реализовано - через фишинговый сайт (которого пока нет) или через email-рассылку (mx-записей тоже нет).
Подождем и посмотрим.