TRUEOSINT News

Фишинговую имитацию рекламного сайта канала в MAX, где якобы проходит розыгрыш призов и, конечно же, голосование - куда без него, можно увидеть на доменах VOTEMAX-RU.CFD и VOTEMAX-RU.CFD.

Мошенники начали использовать уже ставшие привычными сайты со ссылкой на конкретный канал в MAX. Однако вместо перехода в канал пользователю снова подставляют форму авторизации, где, как обычно, просят ввести номер телефона и SMS-код. В результате жертва фактически передает доступ к своей учетной записи MAX злоумышленникам.

Домен заблокируем.
(Заблокирован за 5 часов 1 минуту)

#фишинг #голосование #max #макс

Ну и какой же день без новых шаблонов по схеме «Голосование в MAX».

На доменах MAXIOFFICIALL.ONLINE и OFFICIALEMAX.ONLINE разместили более свежий и усложненный шаблон уже привычного фишингового голосования в MAX.

Судя по содержанию, это заготовка для дальнейшего распространения. На это указывают разные детали, но главное - отсутствие самой фишинговой страницы, где пользователь должен ввести номер телефона и код подтверждения. Авторы шаблона, вероятно, предлагают мошенникам более низкого звена самостоятельно подставлять ссылки на такие страницы.

Участники конкурса, естественно, сгенерированы. Для большей убедительности добавлены графики, аналитика, описание, а также предложение самому принять участие в конкурсе, отправив заявку администрации - разумеется, после авторизации в MAX через фишинговый сайт.

Для удобства мошенников даже создана отдельная админ-панель.

Домены заблокируем.

#фишинг #макс #max #голосование

Финальную страницу для скачивания вредоносного Android-файла можно увидеть на нескольких доменах с основой в название CDN-CLOUDS.RU.

На самом сайте нет никаких пояснений, что это за приложение. Вероятно, злоумышленники планируют использовать ВПО в разных мошеннических сценариях, поэтому им нужна универсальная финальная страница, на которую пользователь попадет после социальной инженерии и с которой скачает нужное приложение.

Интересная деталь - на сайте указано, что после достижения лимита скачиваний пользователю будет выдаваться следующая сборка в очереди. Это может означать, что злоумышленники используют ротацию APK-файлов: ограничивают распространение одной сборки, затем автоматически подменяют ее следующей. Такая схема может помогать обходить детекты, снижать скорость блокировки конкретного образца и тестировать разные версии ВПО на реальных жертвах.

VirusTotal классифицирует файл как банковский троян. При этом образец выглядит достаточно свежим: на момент проверки его детектируют не все антивирусные движки.

Домен заблокируем.
(Заблокирован за 25 часов 38 минут)

#фишинг #впо

ГТО - Грубая Техническая Ошибка

Хакеры получили доступ к сайту ГТО, участниками (движения) которого, по состоянию на 2025 год, являются более 6,7 млн человек.

Сообщается, что фактического взлома и не было: дамп сайта находился в открытом доступе, чем и воспользовались злоумышленники.
Используя административные учетные данные, они получили доступ к Bitrix и продемонстрировали это, изменив главную страницу ресурса.

Хотя авторизация на сайте проходит через ЕСИА, а значит пользовательские учетные данные, вероятно, не пострадали, сам факт доступа к административной части создает серьезные риски. Например, злоумышленники могли использовать сайт для размещения поддельной акции, ведущей на фишинговую страницу.

#утечка #гто #вфск #esia #есиа #bitrix

Очередной фишинговый шаблон под MAX можно увидеть на домене IDENTIFYMAX.TOP.

На сайте пользователя просят подтвердить, что он не робот. Однако вместо привычной капчи ему предлагают ввести номер телефона и подтвердить его SMS-кодом - конечно же, «для голосования».

Мошенники, как обычно, не слишком заботятся о логике сценария и текста: они массово создают разные варианты шаблонов в надежде, что какой-то из них сработает и его можно будет дальше масштабировать.

Домен заблокируем.
(Заблокирован за 64 часа 11 минут)

#фишинг #макс #max #голосование