TRUEOSINT News

Скоро начнется сезон отпусков, и многие захотят заранее забронировать жилье. Этим и пытаются воспользоваться мошенники, о чем свидетельствует пример домена DETAILS-ID583019.INFO.

Сайт имитирует страницу входа в Booking.com - сервис бронирования жилья. Пользователю предлагают пройти "проверку", подтверждающую, что он не робот. После нажатия кнопки начинается новый квест, рассчитанный на пользователей Windows: жертве предлагают выполнить определенную комбинацию клавиш, которая открывает окно "Выполнить" и запускает PowerShell-команду, заранее помещенную в буфер обмена компьютера.

Фактически речь идет о запуске вредоносного скрипта, который может предоставить злоумышленникам доступ к устройству пользователя.

Домен заблокируем.

#фишинг #впо #booking

Победа или смерть.

Похоже, мошенники из схемы "Голосование за детей" окончательно разуверились в том, что жертвы и дальше будут массово отдавать им свои Telegram-аккаунты, и решили пойти дальше - к прямому захвату доступа к телефону.

Обновленную попытку реализации этой схемы можно увидеть на домене GOLOSADETEY.RU.

Пользователям предлагают проголосовать за художественные работы детей с онкологическими заболеваниями и обещают победителям индивидуальные гранты на лечение. Цинизм сценария традиционно зашкаливает: кто "победил", того, видимо, и будут лечить.

Для большей убедительности на сайте указаны якобы спонсоры - СБЕР, VK, Газпромбанк и Т-Банк.

Но суть схемы уже не в голосовании. Чтобы "отдать голос", пользователю предлагают скачать .APK-файл, который на деле является вредоносным ПО. То есть вместо поддержки детей жертве предлагают собственноручно заразить свое устройство и передать доступ мошенникам.

Домен заблокируем.
(Заблокирован за 27 часов 00 минут)

#фишинг #впо #голосованиедети

Как известно, злоумышленники нередко используют браузерные расширения в вредоносных сценариях - для сбора данных пользователей, доставки вредоносного контента или иных нелегальных действий. При этом одна и та же инфраструктура иногда может использоваться сразу в нескольких сценариях.

Пример можно увидеть на домене TABSKIN.RU, где пользователю предлагается скачать расширение для браузера, меняющее оформление новой вкладки. Одновременно по адресу VTB.TABSKIN.RU размещена страница, имитирующая вход в личный кабинет ВТБ, что может использоваться в фишинговых целях.

Домен заблокируем.

#фишинг #впо #vtb #втб

Очередную попытку внедрить вредоносное ПО на ваш Android-телефон предпринимают хакеры - на домене YANDEX-APP.RU.

На сайте предлагают установить "обновление Яндекс Браузера" (который, конечно, якобы уже у всех установлен), а по факту - заразить устройство и передать данные злоумышленникам. В описании указано, что обновление включает нейросеть YandexGPT, однако по результатам проверки на VirusTotal это выглядит как троян.

Домен заблокируем.
(Заблокирован за 1 час 50 минут)

#фишинг #впо #яндекс

Хакеры продолжают попытки внедрить на Android вредоносное ПО через домен 24FGOS.RU.

На этот раз они имитируют платформу для репетиторов и учителей "ВЗНАНИЕ", а главный крючок - "проверка домашних заданий". На сайте эту функцию подают как удобный сервис: загрузите/проверьте домашку через приложение. По факту именно под "проверку ДЗ" пользователей и ведут к установке .apk.

Пока файл приложения еще не прикреплен (или злоумышленники не довели механику до конца), но любые попытки нажимать кнопки показывают, что ключевой сценарий должен запускаться только после скачивания приложения.

Картинки и текст взяты с оригинального сайта VZNANIYA.COM и адаптированы под мошеннический шаблон.

Как мы писали ранее, в открытый доступ попала база данных сервиса по подбору репетиторов REPETIT.RU, и, вероятно, именно его пользователи станут первой целью - им могут рассылать приглашения "проверить домашнее задание" на новом сайте с установкой зараженного приложения навсегда и бесплатно.

Домен заблокируем.

#фишинг #впо #взнания