TRUEOSINT News

Новый шаблон фишинга с голосованием появился на доменах MAXVOTELOGIN.CLICK и GOLOSOVANIE.CLUB

Под видом голосования и создания петиции (это слово особенно часто используют мошенники в подобных сценариях) пользователям предлагают «отдать голос» за разблокировку Telegram в мессенджере MAX.

Для участия необходимо указать номер телефона и код из SMS с 2FA, после чего эти данные фактически передаются мошенникам, что может привести к захвату аккаунта и дальнейшему использованию его для рассылок или социальной инженерии.

Домен заблокируем.
(Заблокирован за 28 часов 17 минут)

#фишинг #голосование #max

Мошенники тренируются на новой модели фишинга под MAX, но используют уже знакомый сценарий из Telegram.

На удачном домене DELETMAX.RU можно увидеть заготовку под сценарий удаления аккаунта в мессенджере MAX. Пользователю сообщают, что в течение 24 часов необходимо успеть отменить удаление, нажав на соответствующую кнопку.

Скамонты не любят усложнять и думать, поэтому наиболее вероятно, что после нажатия кнопки появится уже стандартный сценарий: предложение ввести номер телефона и код из СМС для подтверждения отмены удаления аккаунта.

Скрипт у мошенников пока не дописан, поэтому блокировку сделаем немного позже — пусть продолжают работать над «продуктом».

Домен заблокируем.
(Заблокирован за 25 часов 43 минуты)

#фишинг #max

Фишинг под видом входа в личный кабинет Ростелекома обнаружен на домене LOGIN-RT.RU.

Сайт полностью копирует внешний вид входа в личный кабинет официального сервиса и предлагает пользователям ввести логин и пароль. После отправки данных злоумышленники сообщают о завершении сессии и перенаправляют пользователя на настоящую страницу авторизации Ростелекома, чтобы скрыть факт компрометации.

Вероятнее всего, цель такой схемы заключается не в оплате услуг интернета жертве, а в получении доступа к данным клиентов. Полученная информация может использоваться для дальнейшей социальной инженерии — как от имени Ростелекома, так и под видом сотрудников государственных органов или правоохранительных структур.

Также нельзя исключать использование скомпрометированных аккаунтов для попыток оформления дополнительных услуг, включая регистрацию новых SIM-карт или других сервисов, доступных через личный кабинет.

Домен заблокируем.
(Заблокирован за 6 часов 47 минут)

#фишинг #ростелеком

Почти год скамонты ждали освобождения красивого домена YANDEX-ARENDS.RU, чтобы снова разместить на нем шаблон фишинга, который ранее уже попадал в нашу базу. При этом они не стали менять вообще ничего — даже адрес студии.

Чтобы не трогать скрипт и не рисковать с формой оплаты, мошенники просто заменили домен PAYS-NOW.RU на PAYS-NOW.ONLINE. Но, судя по всему, что-то пошло не так.

Исправить ошибку они уже не успеют, так как:

Домен заблокируем.
(Заблокирован за 27 часов 55 минут)

#фишинг #яндексаренда #спб

Скамонты продолжают убеждать нас в своей недалекости.

На домене SOGAZ-GEROISVO-ASSISTANCE.RU размещен сайт, который от имени «СОГАЗ» предлагает оформить выплату родственникам погибших участников СВО.

Далее пользователю показывают имитацию входа через «Госуслуги» и предлагают дать согласие на обработку персональных данных — но уже в пользу «Ингосстраха».

Затем необходимо поставить галочку под текстом о том, что, нажимая кнопки «Согласен» или «Продолжить», пользователь дает соответствующее согласие. Проблема лишь в том, что таких кнопок на странице нет — есть только кнопка «Разрешить».

Но самое интересное начинается дальше. Пользователя предупреждают, что его якобы могли взломать, а данные были переданы на сайт, зарегистрированный в другой стране. При этом и домен, и хостинг размещены у REG.RU.

Если пользователь «не совершал этих действий», ему предлагают позвонить по указанному номеру — разумеется, напрямую мошенникам.

Домен заблокируем.
( Заблокирован за 2 часа 01 минуту)

#фишинг #согаз #ингострах #госуслуги