TRUEOSINT News

UEBA-исследование продолжается: мошенники не стали сильно мудрить с названием домена и для следующего шаблона выбрали VIDEOSEND-MAX.CLICK.

На сайте представлен новый сценарий: перед тем как показать пользователю видео якобы из личного сообщения, ресурс имитирует проверку "безопасности" мессенджера MAX. По результатам этой проверки оказывается, что у пользователя якобы не установлен пароль.

После этого ему предлагают установить пароль по инструкции. Фактически же пользователь самостоятельно создает и передает этот пароль мошенникам, что дает им возможность получить доступ к аккаунту.

Домен заблокируем.

#фишинг #max #ueba

Простой шаблон мошеннической попытки загрузить вредоносное ПО на телефон можно увидеть на домене MAXTUBERUSSIA.LOL.
На сайте имитируется “подготовка” фотографии к просмотру, после чего пользователю предлагается скачать APK-файл размером почти 10 МБ.
Файл содержит признаки вредоносной активности. При этом для затруднения анализа антивирусными решениями архив был защищен паролем, из-за чего часть средств безопасности могла не получить доступ к его содержимому.

Домен заблокируем.
(Заблокирован за 34 часа 30 минут)

#фишинг #max #впо

Как и ожидалось, появились и мошеннические схемы, связанные с Roblox. Их шаблон можно увидеть на домене ROBLOXMAJOR.RU.

Легенда уже хорошо известна: пользователям предлагают пройти якобы «проверку» и получить 10 000 робуксов (около 100 долларов).

Для этого требуется пройти авторизацию в MAX, введя номер телефона и код из SMS, тем самым фактически передав доступ мошенникам.

В данном случае злоумышленники эксплуатируют сразу несколько факторов: требования школ установить мессенджер MAX и популярность Roblox среди детей.

Домен заблокируем.
(Заблокирован за 69 часов 39 минут)

#фишинг #max #roblox

UEBA - User and Entity Behavior Analytics

Казалось бы, перед нами просто новый шаблон фишинга под MAX с попыткой получить номер телефона и код для просмотра видео на домене SENDVIDEOSMAX.CLICK.

И сначала бросается в глаза логическое упущение: зачем указывать второй способ получения кода (через MAX), если для этого в него нужно сначала войти, используя первый способ.

Однако исходный код страницы оказался интереснее. В нем видно, что мошенники начали собирать подробную аналитику поведения пользователя и даже делятся наблюдениями в комментариях.

Фактически идет оптимизация “продукта”: они анализируют пользовательскую воронку, пытаются понять поведение жертв и снизить потери, которые, судя по комментариям, достигают 70%. Отдельно проверяются гипотезы, в первую очередь связанные с неудобством интерфейса. Так как "они растеривались и не нажимали"

Но не будем мешать их исследованиям - пусть продолжают думать, что проблема в кнопках.

Домен заблокируем.
(Заблокирован за 33 часа 41 минуту)

#фишинг #max #аналитика #ueba

Мошенники, работающие по схеме "Почтальон Печкин", продолжают улучшать свои шаблоны - это видно на домене CDEK-NALLPAY.RU.

На сайте пользователю предлагается ввести номер заказа СДЭК для его отслеживания - тот самый номер, который во время звонка сообщает мошенник, убеждая в наличии бесплатного подарка от какой-либо компании или "знакомого".

Если ввести номер, открывается якобы личный кабинет с информацией о доставке, который, судя по всему, еще не доработан. Для получения заказа требуется загрузить копию паспорта, однако соответствующие кнопки не работают.

Кроме того, заметны несостыковки с датами: текущая дата указана только как дата создания, тогда как в остальных полях фигурирует февраль 2025 года.

Домен заблокируем.
(Заблокирован за 28 часов 27 минут)

#фишинг #сдэк #cdek #печкин