В современном мире скама все максимально автоматизировано. Это касается и мошенничеств на торговых площадках, и многих видов фишинга, равно как и других вредоносных активностей. Автоматизация делает осуществление атак проще и значительно снижает требования к квалификации атакующего.
Перед вами пример фрод-комбайна Fraudopedia, развернутого на российском домене fraudopedia.ru. OTP-боты предназначены для кражи одноразовых кодов (паролей) доступа в рамках двухфакторной аутентификации. Доступ к подобным инструментам как правило осуществляется по подписке.
Владелец домена – весьма активный человек. Среди его ресурсов встречаются:
https://fpedia.ru/login - еще одна Fraudopedia
https://avito-sms.ru/ - обход двухфакторки на Авито
https://pleaks.ru/index.php - польскоязычный форум об утечках
https://bunkr.su/ - файловый сервер для хранения утечек.
А также онлайн хранилище для вредоносного п/о, криптер троянов, сайт с форекс-ботами, онлайн-кинотеатр, фейковый ресурс польской службы доставки, домены, заточенные под фишинг от лица европейских банков и многое другое.
Несмотря на то, что человек явно ориентирован на работу по Европе и скорее всего имеет польские корни, располагается все это добро на российских доменах, причем не только .RU, но и .SU, что вообще редкость. В текущих условиях заблокировать такие домены европейским компаниям будет сложнее, чем обычно, а если припечет, то всегда можно сослаться на русских хакеров.
Перед вами пример фрод-комбайна Fraudopedia, развернутого на российском домене fraudopedia.ru. OTP-боты предназначены для кражи одноразовых кодов (паролей) доступа в рамках двухфакторной аутентификации. Доступ к подобным инструментам как правило осуществляется по подписке.
Владелец домена – весьма активный человек. Среди его ресурсов встречаются:
https://fpedia.ru/login - еще одна Fraudopedia
https://avito-sms.ru/ - обход двухфакторки на Авито
https://pleaks.ru/index.php - польскоязычный форум об утечках
https://bunkr.su/ - файловый сервер для хранения утечек.
А также онлайн хранилище для вредоносного п/о, криптер троянов, сайт с форекс-ботами, онлайн-кинотеатр, фейковый ресурс польской службы доставки, домены, заточенные под фишинг от лица европейских банков и многое другое.
Несмотря на то, что человек явно ориентирован на работу по Европе и скорее всего имеет польские корни, располагается все это добро на российских доменах, причем не только .RU, но и .SU, что вообще редкость. В текущих условиях заблокировать такие домены европейским компаниям будет сложнее, чем обычно, а если припечет, то всегда можно сослаться на русских хакеров.
👍20👌5❤1👎1
Волна взломов Telegram-аккаунтов продолжается уже полгода. И если сама схема принципиально не меняется, как и шаблон, то вот легенда, использования для заманивания на фишинговый сайт, претерпевает изменения.
Если в последние месяцы в тренде были голосования, то теперь мошенники перешли к петициям. На скриншоте вы можете видеть пример фишингового сайта petitiongram.ru, на котором предлагается подписать петицию о запрете добычи нефти на Аляске. Сейчас эта тема весьма актуальна, существует соответствующая петиция на change.org, а посты с просьбой подписать её активно разгоняются в VK и на других площадках, так что найти потенциальную жертву, озабоченную вопросами экологии, будет не сложно.
Обратите внимание, что фраза про петицию написана человеком, весьма своеобразно владеющим русским языком. Впрочем, это не мешает ему активно скамить русскоязычное население. В его копилке имеются фишинговые проекты под Avito, Discord, Steam, МВидео, VK, Мособлэнерго, Yandex, кредитные организации, а также фейковые криптовалютные проекты и сайты театров. Общее количество принадлежащих владельцу доменов составляет 2,5 тысячи – явная заявка на рекорд.
Если в последние месяцы в тренде были голосования, то теперь мошенники перешли к петициям. На скриншоте вы можете видеть пример фишингового сайта petitiongram.ru, на котором предлагается подписать петицию о запрете добычи нефти на Аляске. Сейчас эта тема весьма актуальна, существует соответствующая петиция на change.org, а посты с просьбой подписать её активно разгоняются в VK и на других площадках, так что найти потенциальную жертву, озабоченную вопросами экологии, будет не сложно.
Обратите внимание, что фраза про петицию написана человеком, весьма своеобразно владеющим русским языком. Впрочем, это не мешает ему активно скамить русскоязычное население. В его копилке имеются фишинговые проекты под Avito, Discord, Steam, МВидео, VK, Мособлэнерго, Yandex, кредитные организации, а также фейковые криптовалютные проекты и сайты театров. Общее количество принадлежащих владельцу доменов составляет 2,5 тысячи – явная заявка на рекорд.
😁24👍10🫡5❤1
Злоумышленники часто используют образ медийных персон для вовлечения людей в различные авантюры. Больше всех достается Илону нашему Маску, периодически мелькает Дуров, но и Герман Греф не отстает в популярности. Фейковые профили Германа Оскаровича в соцсетях появляются буквально еженедельно, а вчера в сети появилось целых три сайта, предлагающих обучение по программе «Инвестиции для начинающих» от главы Сбера:
http://герман-греф.рф/
http://школа-грефа.рф/
http://обучение-грефа.рф/
Сайты выполнены на привычном шаблоне для ресурсов фейковых инвестиционных программ, сверстанном в Tilda, а политика обработки персональных данных настолько плоха, что не годится даже для палатки по продаже шаурмы, телефон и адрес позаимствованы у «Школы 21» (https://21-school.ru/) – бесплатной школы программирования от Сбера, не имеющей ни малейшего отношения к тематике инвестиций.
В современных реалиях отслеживание случаев использования образа публичных личностей и топ-менеджмента крупных компаний – это не прихоть, а насущная необходимость, ведь подобная кража личности может повлечь последствия зачастую даже более серьезные, чем злоупотребление брендом компании.
http://герман-греф.рф/
http://школа-грефа.рф/
http://обучение-грефа.рф/
Сайты выполнены на привычном шаблоне для ресурсов фейковых инвестиционных программ, сверстанном в Tilda, а политика обработки персональных данных настолько плоха, что не годится даже для палатки по продаже шаурмы, телефон и адрес позаимствованы у «Школы 21» (https://21-school.ru/) – бесплатной школы программирования от Сбера, не имеющей ни малейшего отношения к тематике инвестиций.
В современных реалиях отслеживание случаев использования образа публичных личностей и топ-менеджмента крупных компаний – это не прихоть, а насущная необходимость, ведь подобная кража личности может повлечь последствия зачастую даже более серьезные, чем злоупотребление брендом компании.
🔥4👍2
Сегодня у нас день Сбера. В сеть выложили второй файл, предположительно имеющий отношение к бонусной программе «СберСпасибо».
Структура нового файла совпадает с предыдущим. В нем так же содержатся номера телефонов, даты рождения, регистрации в сервисе и последнего входа, а также хэшированные номера карт.
Файл содержит: 4 541 015 строк.
Уникальных номеров телефонов: 4 532 480.
Актуальность базы – 22 января 2023 года. Последняя дата имеет временную отметку 22 часа 03 минуты.
Структура нового файла совпадает с предыдущим. В нем так же содержатся номера телефонов, даты рождения, регистрации в сервисе и последнего входа, а также хэшированные номера карт.
Файл содержит: 4 541 015 строк.
Уникальных номеров телефонов: 4 532 480.
Актуальность базы – 22 января 2023 года. Последняя дата имеет временную отметку 22 часа 03 минуты.
😱20👍9🤬5❤2🔥2🤔2🤣2🥰1
Для того, чтобы перечислить все бренды, задействованные в схеме с фейковыми опросами, которую мы назвали «Хамелеон 2.0», не хватит пальцев и на двух руках. И вот новый бренд в копилке – «Вкусно и точка».
Кстати, наш бдительный подписчик заметил, что на сайте вместо месяца "март" написано "маршировать" - автозамена не щадит даже мошенников!
Данный мошеннический сценарий прекрасно зарекомендовал себя в последние 2 года и ничуть не собирается отправляться на покой. Напомним суть схемы «Хамелеон 2.0». Сообщения со ссылками на вредоносный ресурс распространяются в мессенджерах, причем отправляют их сами пользователи – для получения подарка необходимо поделиться информацией о розыгрыше с парой десятков друзей. После перехода по ссылке пользователь попадает не на сам фишинговый сайт, а на один из произвольно сгенерированных доменов и лишь после нескольких редиректов через такие же безликие домены оказывается непосредственно на сайте с опросом. Цепочка редиректов постоянно меняется, а фишинговый сайт откроется лишь тому, кто попадет на него через переадресацию с одного из промежуточных ресурсов. Это обеспечивает высокую стабильность схемы и защиту от обнаружения.
Впрочем, мы давно раскусили принцип её работы и без труда выявляем все сайты, задействованные в фишинговой цепочке.
Кстати, наш бдительный подписчик заметил, что на сайте вместо месяца "март" написано "маршировать" - автозамена не щадит даже мошенников!
Данный мошеннический сценарий прекрасно зарекомендовал себя в последние 2 года и ничуть не собирается отправляться на покой. Напомним суть схемы «Хамелеон 2.0». Сообщения со ссылками на вредоносный ресурс распространяются в мессенджерах, причем отправляют их сами пользователи – для получения подарка необходимо поделиться информацией о розыгрыше с парой десятков друзей. После перехода по ссылке пользователь попадает не на сам фишинговый сайт, а на один из произвольно сгенерированных доменов и лишь после нескольких редиректов через такие же безликие домены оказывается непосредственно на сайте с опросом. Цепочка редиректов постоянно меняется, а фишинговый сайт откроется лишь тому, кто попадет на него через переадресацию с одного из промежуточных ресурсов. Это обеспечивает высокую стабильность схемы и защиту от обнаружения.
Впрочем, мы давно раскусили принцип её работы и без труда выявляем все сайты, задействованные в фишинговой цепочке.
🔥21👍8❤3😁1
Познавательная пятница на канале In2security
Знаете ли вы, какая доменная зона чаще всего используется для скама и фишинга?
Можно было бы предположить, что это бесплатные африканские домены типа .CF, .MD и так далее, предлагаемые регистратором Freenom, получившие широкую популярность у скамеров в 2020-2022 годах. Но это не так. В топе доменных зон, используемых для фишинга, уверенно лидирует зона .TOP, простите за каламбур.
Минутка занимательной статистики.
В марте этого года было зарегистрировано чуть более 126 тысяч доменов *.TOP. Из них более 120 тысяч (95%) – это доменные имена, представляющие собой произвольно сгенерированные буквенно-цифровые комбинации или шаблонные домены-прокладки по типу тех, что используются в мошенничествах на маркетплейсах.
Производительности злоумышленников можно только позавидовать. В среднем в сутки в зоне .TOP появляется порядка 5 тысяч вот таких доменных имен. Конечно, не все они задействованы под скам. Выборочный анализ показал, что немалая их часть используется для… адресации онлайн-казино, что, впрочем, не многим лучше.
Вряд ли Китай, который является владельцем зоны .TOP подозревал, как именно она будет использоваться спустя 12 лет после её появления. Изначально планировалась, что домены .TOP будут ассоциироваться с чем-то топовым и люксовым, но вот только по состоянию на сегодняшний день новые осмысленные доменные имена в зоне .TOP практически не появляются. Количество новых доменов, содержащих слова из европейских языков не превышает полутора процентов, а остальные 3,5 процента приходятся на китайские домены.
Знаете ли вы, какая доменная зона чаще всего используется для скама и фишинга?
Можно было бы предположить, что это бесплатные африканские домены типа .CF, .MD и так далее, предлагаемые регистратором Freenom, получившие широкую популярность у скамеров в 2020-2022 годах. Но это не так. В топе доменных зон, используемых для фишинга, уверенно лидирует зона .TOP, простите за каламбур.
Минутка занимательной статистики.
В марте этого года было зарегистрировано чуть более 126 тысяч доменов *.TOP. Из них более 120 тысяч (95%) – это доменные имена, представляющие собой произвольно сгенерированные буквенно-цифровые комбинации или шаблонные домены-прокладки по типу тех, что используются в мошенничествах на маркетплейсах.
Производительности злоумышленников можно только позавидовать. В среднем в сутки в зоне .TOP появляется порядка 5 тысяч вот таких доменных имен. Конечно, не все они задействованы под скам. Выборочный анализ показал, что немалая их часть используется для… адресации онлайн-казино, что, впрочем, не многим лучше.
Вряд ли Китай, который является владельцем зоны .TOP подозревал, как именно она будет использоваться спустя 12 лет после её появления. Изначально планировалась, что домены .TOP будут ассоциироваться с чем-то топовым и люксовым, но вот только по состоянию на сегодняшний день новые осмысленные доменные имена в зоне .TOP практически не появляются. Количество новых доменов, содержащих слова из европейских языков не превышает полутора процентов, а остальные 3,5 процента приходятся на китайские домены.
👍19❤2😁2👎1👌1
Нас часто спрашивают о том, как нам удается в короткое время анализировать большие массивы доменов и выявлять среди них целые группы, заточенные под скам и фишинг! В этом нам помогают коллеги с канала CyberSquatting RU Alerts.
Каждый день они выкладывают новые порции новых доменных имен, с которыми явно все не чисто, будь то домены, похожие на популярные бренды или домены, зарегистрированные в рамках различных популярных мошеннических схем.
Если вы полны желания изучать фишинговые схемы и выводить мошенников на чистую воду, то вот вам отличный источник информации для старта.
Каждый день они выкладывают новые порции новых доменных имен, с которыми явно все не чисто, будь то домены, похожие на популярные бренды или домены, зарегистрированные в рамках различных популярных мошеннических схем.
Если вы полны желания изучать фишинговые схемы и выводить мошенников на чистую воду, то вот вам отличный источник информации для старта.
Telegram
CyberSquatting RU Alerts
https://www.threatcat.com/
👍10🔥3👌2
Безопасность на авось…
Сегодня на популярном каждый раз возрождающемся словно феникс из пепла дарк-форуме, посвященном утечкам, выложили клиентсткую базу, которая, согласно описанию, может принадлежать сети магазинов «Авоська».
В авоське обнаружилось примерно 2000 строк, содержащих:
ФИО
Пол
Телефон (1850 уникальных)
Email (88 адресов)
Хэши паролей
Адреса
Баланс бонусных баллов…
…и массу прочей служебной информации.
Выложенный дамп не похож на компиляцию или перелицованную старую базу. Несмотря на заявленную актуальность – 2019 год, в базе присутствуют записи от 2 апреля 2023, так что инцидент по всей видимости произошел вчера.
Сегодня на популярном каждый раз возрождающемся словно феникс из пепла дарк-форуме, посвященном утечкам, выложили клиентсткую базу, которая, согласно описанию, может принадлежать сети магазинов «Авоська».
В авоське обнаружилось примерно 2000 строк, содержащих:
ФИО
Пол
Телефон (1850 уникальных)
Email (88 адресов)
Хэши паролей
Адреса
Баланс бонусных баллов…
…и массу прочей служебной информации.
Выложенный дамп не похож на компиляцию или перелицованную старую базу. Несмотря на заявленную актуальность – 2019 год, в базе присутствуют записи от 2 апреля 2023, так что инцидент по всей видимости произошел вчера.
👍4😱1
Сегодня нам встретился новый шаблон сайта фейкового инвестпроекта от Газпрома (первая картинка).
Почему мы решили поделиться этой информацией? Да просто сложно найти более активную и при этом более консервативную схему. Несмотря на то, что новые сайты стабильно появляются на протяжение последних четырех лет в количестве от 5 до 15 в день, за все эти годы основной шаблон фейковых ресурсов практически не изменился – мы регулярно фиксируем сайты, которые выглядят ровно так же, как и те, что мы находили 3-4 года назад.
У схемы существует целый ряд форков. Помимо инвестиций от Газпрома, Газпромбанка, Газпром нефти или Газпром инвестхолдинга, существуют варианты, связанные с несуществующими организациями, например Газинвест или Газ руси, сайты, нацеленные на граждан других стран, в частности Польши, Молдовы и Узбекистана, а также фейковые инвестпроекты от имени Илона Маска и прочих успешных людей (недавний пример с Германом Грефом тоже из этой серии). Также нередко используются дополнительные веб-страницы, имитирующие сайты новостных агентств, чаще всего РБК, раньше были популярны еще и фейковые выпуски теленовостей, но в последнее время они практически полностью сошли на нет.
Несмотря на то, что в последние 3 года такие ресурсы в основном используют домены третьего уровня, а также доменные имена, никак не связанные с Газпромом, это не мешает нам пачками обнаруживать их по другим признакам. Так что если хотите погрузиться в мир фейковых инвестиций, вот вам свежий улов:
https://delicakdmg.space/
https://quest.trading-investing.ru/
https://pilimorv.space/
https://racetovan.com/
http://getnewsolutions20223.cfd/
http://gnvesting.online/
https://exxclusivesafety.site/
https://raprepair.com/
https://jerfamir.com/offer/
https://kilimanro.com/
https://lilliroud.com/
https://takebestsalary.click/
https://goodsolution23.com/
Почему мы решили поделиться этой информацией? Да просто сложно найти более активную и при этом более консервативную схему. Несмотря на то, что новые сайты стабильно появляются на протяжение последних четырех лет в количестве от 5 до 15 в день, за все эти годы основной шаблон фейковых ресурсов практически не изменился – мы регулярно фиксируем сайты, которые выглядят ровно так же, как и те, что мы находили 3-4 года назад.
У схемы существует целый ряд форков. Помимо инвестиций от Газпрома, Газпромбанка, Газпром нефти или Газпром инвестхолдинга, существуют варианты, связанные с несуществующими организациями, например Газинвест или Газ руси, сайты, нацеленные на граждан других стран, в частности Польши, Молдовы и Узбекистана, а также фейковые инвестпроекты от имени Илона Маска и прочих успешных людей (недавний пример с Германом Грефом тоже из этой серии). Также нередко используются дополнительные веб-страницы, имитирующие сайты новостных агентств, чаще всего РБК, раньше были популярны еще и фейковые выпуски теленовостей, но в последнее время они практически полностью сошли на нет.
Несмотря на то, что в последние 3 года такие ресурсы в основном используют домены третьего уровня, а также доменные имена, никак не связанные с Газпромом, это не мешает нам пачками обнаруживать их по другим признакам. Так что если хотите погрузиться в мир фейковых инвестиций, вот вам свежий улов:
https://delicakdmg.space/
https://quest.trading-investing.ru/
https://pilimorv.space/
https://racetovan.com/
http://getnewsolutions20223.cfd/
http://gnvesting.online/
https://exxclusivesafety.site/
https://raprepair.com/
https://jerfamir.com/offer/
https://kilimanro.com/
https://lilliroud.com/
https://takebestsalary.click/
https://goodsolution23.com/
👍16❤3
Спасем дельфинов с эскортицами.
Ну да, вот такое странное предложение предлагают наши литовские «друзья» на сайте http://golos-girls.ru/
Схема простая - выбрать девушку, данные которых спарсены с сайта эскортниц (ссылку давать не будем, в исходном коде сами посмотрите) - указываете количество голосов которые пойдут якобы в фонд помощи «Спасения дельфинов Сочи» (нет такого конечно) и вводите данные своей карты, чтобы списались все ваши деньги. Фишинг для мамонта с использованием млекопитающих. Жмудь старался, жмудь молодец.
Хотите реально помочь дельфинам - гуглите Центр спасения дельфинов «Дельфа».
Ну да, вот такое странное предложение предлагают наши литовские «друзья» на сайте http://golos-girls.ru/
Схема простая - выбрать девушку, данные которых спарсены с сайта эскортниц (ссылку давать не будем, в исходном коде сами посмотрите) - указываете количество голосов которые пойдут якобы в фонд помощи «Спасения дельфинов Сочи» (нет такого конечно) и вводите данные своей карты, чтобы списались все ваши деньги. Фишинг для мамонта с использованием млекопитающих. Жмудь старался, жмудь молодец.
Хотите реально помочь дельфинам - гуглите Центр спасения дельфинов «Дельфа».
😁16👍4🔥3⚡2👏2❤1