TRUEOSINT News

Кто-то, извлек из цифровой вечной мерзлоты один из древнейших и самых непритязательных шаблонов фишинга Telegram и прикрутил его к новому сценарию голосования. Увидеть этот артефакт можно на удачно подобранном домене GOLOSOVANIE.CLOUD.

Отдельного внимания заслуживает карточка кандидата: имя Pol Cherie скорее воспринимается как мужское, при этом в профиле используется фотография девушки.

Но настоящая археология начинается после перехода по ссылке. Там пользователя встречает уже не просто устаревший шаблон, а настоящий копролит скамонтов: максимально бедный дизайн, который еще три года назад выглядел бы как дно. Особенно прекрасно, что они даже не убрали фразу про необходимость авторизоваться, «чтобы отправить свой голос другу» — видимо, шаблон настолько древний, что его уже проще раскопать, чем переделать, вдруг сломается.

Домен заблокируем.

#фишинг #скамонты #голосование

Скамонты, работающие под сотрудников Минцифры и Росфинмониторинга, немного изменили подход к своим сайтам, что можно увидеть на доменах GOV-MINHELP.RU и GOV-FINHELP.RU.

Теперь список сотрудников берется не из отдельного JSON-файла, а зашит прямо в HTML. При этом количество записей заметно увеличилось: 24 сотрудника на сайте под Минцифру и 20 — на сайте под Росфинмониторинг.

Шаблон под Минцифру остался таким же бестолковым: лента не работает, а пользователям зачем-то показывают дату назначения сотрудника. В случае с Росфинмониторингом все выглядит чуть лучше: шаблон не меняли, но добавили обновленную новостную ленту. Правда, по непонятной причине рядом с сотрудниками теперь указаны даты рождения — возможно, чтобы потенциальные жертвы могли заранее подготовить поздравления.

Но даже после такой «доработки» логика у скамонтов снова хромает: из 20 человек 18 указаны просто как «сотрудники», а у Осипова название отдела зачем-то включили прямо в должность.

Домены заблокируем.
(Заблокированы за 32 часа 56 минут)

#фишинг #минцифры #росфинмониторинг #скамонты

Мошенники заинтересовались VK ID: свежий пример можно увидеть на домене ARTVOTE-VKWEB.XYZ.

Во «ВКонтакте» пользователю в очередной раз предлагают проголосовать за картинку, но для этого переводят на фишинговый домен, где требуется подтвердить вход через аккаунт VK. После авторизации данные и сессия передаются мошенникам.

Отдельная деталь: сайт не просто копирует внешний вид VK ID, а отслеживает статус авторизации в реальном времени и показывает пользователю экран ожидания подтверждения входа в приложении VK.

Домен заблокируем.
(Заблокирован за 2 часа 45 минут)

#фишинг #vk #vkid

Фишинговая атака на клиентов онлайн-магазина с доставкой продуктов «Самокат» зафиксирована на доменах BONUSSAMOKAT.RU и SAMOKATPROMOCODE.RU.

В тематических чатах мошенники размещают ссылки на Telegram-бота с предложением получить бонус или промокод на заказ. После перехода пользователя перенаправляют на сайт, где предлагают ввести код из Telegram, аккант им уже известен. Ввод кода приводит к передаче аккаунта злоумышленникам.

Отдельно стоит отметить, что мошенники даже не стали менять название используемого шаблона и оставили SpyMax. Это название перекликается с известным RAT-трояном, ориентированным на пользователей Telegram и предназначенным для кражи конфиденциальных данных с Android-устройств.

По работе сайтов видно, что шаблон еще сырой: реализация выглядит примитивно, а у скам-команды явно не хватает ни технической подготовки, ни ресурсов, ни фантазии.

Домен заблокируем.
(Заблокирован за 4 часа 53 минуты)

#фишинг #самокат #впо

Скамонты из банды Aladinio добрались до графиков отключения горячей воды в Москве. На домене VODOCANALMSK.RU они развернули имитацию сайта Мосводоканала и предлагают пользователям «проверить график отключения».

Для проверки, конечно же, нужно ввести номер телефона. Никакой магии: номер уходит мошенникам и дальше может использоваться в привычной цепочке социальной инженерии — звонки от «служб», «подтверждения», «проверки», коды из SMS и попытки добраться до аккаунтов.

Расчет простой: человек и так раздражен отключением воды, хочет быстро узнать сроки и не всегда внимательно смотрит, куда именно вводит данные. На этом скамонты и паразитируют.

Графики отключений стоит проверять только на официальных ресурсах.
Ну или написать владельцам фишинга @zhitttt2 и @Aladinio_mil - спросить лично.

Домен заблокируем.
(Заблокирован за 17 часов 27 минут)

#фишинг #мосводоканал #aladinio