Злоумышленники используют агрессивную рекламную кампанию, включающую в себя спам-рассылки, создание сайтов, имитирующих ресурсы федеральных СМИ, размещение контекстной рекламы в соцсетях и распространение рекламных видеороликов.

Для того, чтобы начать торговать газом, посетителю сайта придется пополнить счет как минимум на 250 долларов США, после чего он получит доступ к системе, старательно имитирующей торги. Естественно, никакого отношения к реальным торгам данная система не имеет и вывести из нее деньги не получится.

При этом сами сайты не отличаются вниманием к деталям и нацелены на самую неприхотливую часть аудитории. В размещенной на сайте лицензии указано несуществующее ООО «Газпром-Инвест», ОГРН принадлежит ООО «Телетрейд Групп», а указанный на сайте контактный телефон является номером факса АО «Тетис Про».
@In4security

Но и эта схема не стоит на месте. В последнее время мы фиксируем появление новых видов ресурсов, имитирующих сайт Отдела противодействия мошенничествам ПАО «Газпром». Свежий пример: https://lgazprom.ru/.

Повторный обман жертв под видом помощи в возврате похищенных денег – история старая, обкатанная еще на нигерийских письмах и активно используемая в процессе мошенничеств на том же Авито.

Однако, в отличие от Авито, в данном случае пока сложно говорить о причастности создателей сайта к вышеописанным фейковым инвестиционным платформам. Вполне возможно, что на чужой проблеме захотели подзаработать совсем другие люди.

Что ж, как бы то ни было, подобного рода сайты выявляются нами и отправляются на блокировку в автоматическом режиме.
@In4security

Похоже, что готовится очередная атака на пользователей всемирной сети. Ну а как еще объяснить появление 2 мая сразу 26 доменов со словом Dianol? Знаете, что это такое? Мы тоже не знали, а оказалось, что это растительный БАД «Дианоль», позиционируемый производителем как средство для лечения диабета.
 
Но почему же атака? Может это просто кто-то развивает торговую сеть? Давайте разберемся. Все домены имеют одинаковую структуру: dianol-*название страны*-*minzdrav*, *health* или *care* .ru. Все ресурсы спрятаны за CloudFlare, что затрудняет определение их физического местонахождения. К тому же все они при попытке открыть сайт осуществляют редирект на Google, что является весьма популярной в наши дни схемой сокрытия фишинга – фейковая страница откроется лишь по уникальной ссылке.
 
Что интересно, большая часть упомянутых в доменах стран относится к Восточной Европе  и Прибалтике: Болгария, Хорватия, Чехия, Словакия, Эстония, Литва, Латвия, Венгрия, Польша, Румыния и Словения. Однако в списке присутствуют и три западноевропейских страны – Греция, Испания и Австрия.
 
Атака скорее всего будет осуществляться с использованием почтовых рассылок, содержащих уникальные ссылки на фишинговые страницы. С учетом специфики БАДа, можно предположить, что рассылка будет носить адресный характер, например на адреса тех, кто ранее покупал характерное для лиц, страдающих от диабета, диетическое питание. Списки покупателей различных интернет-магазинов присутствуют в сети в большом изобилии. А упоминание в доменах стран в сочетании со словами «care» или «health» станет дополнительным аргументом для европейских пользователей, придающим весомость такому сообщению.
@In4security

Клиенты Booking.com под ударом

Орда мошенников, паразитирующих на торговых площадках, активно расширяет горизонты. Мы уже писали об их экспансии на ЦИАН, Blablacar и всевозможные зарубежные торговые платформы. Теперь пришло время самой популярной площадки по бронированию жилья – Booking.com.

Схема особо не отличается от прежних: регистрируется объект недвижимости, предлагаемый в аренду по привлекательной цене. Доверчивой жертве будет отправлена ссылка на фишинговую страницу, содержащую форму оплаты. Далее потребуется ввести код из СМС и… Бинго! Деньги на счете злоумышленника.

Криминальная схема полностью автоматизирована и предлагается по модели CaaS, что привлекает в этот бизнес огромные толпы школьников, жадных до легких денег.

Только за апрель и май мы зафиксировали более 200 доменных имен, задействованных в обмане посетителей Booking.com.

Будьте внимательнее при планировании отпуска и производите оплату бронирования только на официальном сайте.
@In4security

Пицца для мамонта
В 1997 году Михаил Горбачев снялся в скандальной рекламе сети пиццерий PizzaHut. Спустя 24 года наши соотечественники снова проявили неподдельный интерес к этой пиццерии, заделав фишинговый кит, ориентированный на зарубежную аудиторию и запустив его в свободное плавание. На некоторых ресурсах кит продается, на других его можно получить бесплатно, было бы желание.

Анализ доменов за апрель-май показывает, что в среднем фишинговые сайты PizzaHut появляются по одному в день. Впрочем, не одним ПиццаХатом жив фишинг, под ударом оказались и другие сети пиццерий. В лидерах находится PapaJohns – 300 подозрительных доменов за 2 месяца, другие известные международные сети показывают более скромные результаты – порядка 15-30 доменов, то есть один домен раз в 2-3 дня.
@In4security

При этом мы фиксируем повышенную активность мошенников, создающих и эксплуатирующих русскоязычные фейковые сайты пиццерий. Только за последний месяц нами было выявлено и заблокировано более 20 подобных ресурсов. Все выявленные сайты выглядят максимально достоверно, отличить их от настоящего неподготовленному пользователю будет непросто. Злоумышленники активно используют контекстную рекламу в поисковых системах, добиваясь того, что ссылки на фишинговые ресурсы выскакивают на самом верху страницы, до результатов поиска.

Так что, если вы решили заказать пиццу, не переходите по рекламным ссылкам и обращайте внимание на домен.
@In4security

А вы знали, что существуют хостинг-провайдеры, обслуживающие исключительно сетевых мошенников? Они делают вид, что находятся на Сейшелах, но на самом деле они куда ближе, чем кажутся. В этом выпуске рассказываем вам о том, как устроен бизнес российского абузоустойчивого хостера, продавшего душу сетевым проходимцам.
Можете смело отправлять их диапазоны IP-адресов в перманентный бан.
https://te.legra.ph/Landgard-services-05-26
@In4security

В мае появилось примерно 360 новых доменов, имеющих отношение к тематике продажи сертификатов о вакцинации от коронавирусной инфекции. При этом большая часть действующих сайтов предлагает чистой воды развод, который виден невооруженным глазом.

Не отстают и продавцы нелегальных услуг в даркнете и профильных telegram-каналах. Новые объявления о продаже сертификатов о вакцинации появляются там примерно раз в 5-7 дней. Стоимость сертификата в большинстве объявлений колеблется в диапазоне от 2 до 5 тысяч рублей, а сроки их изготовления начинаются от 1 дня, что также дает основание усомниться в их подлинности.

Помимо сертификатов покупателю предлагают оформить справки о наличии антител и ПЦР анализ на коронавирус. Впрочем, с такими справками все проще: в реестры они не заносятся и при желании могут клепаться сотнями даже без участия медицинских работников (сделать печать в XXI веке уж точно не проблема).
@In4security

Именно поэтому наше внимание привлекло вот такое объявление. На фоне других оно выделяется серьезным подходом к вопросу: тут и перечень документов, и внушительная цена, которая оправдывает риски для тех, кто будет делать такой сертификат. С учетом того, что срок изготовления сертификата – 22 дня, можно предположить, что тут не обошлось без своего человека на прививочном пункте, который сделает две полагающиеся прививки человеку-невидимке и внесет все необходимые записи в журналы и реестры.

Впрочем, такой «свой человек» замечательно выявится в ходе проверочной закупки,.тем более, что после трагических событий в Казани у правоохранительных органов возник вполне оправданный интерес к врачам, выдающим липовые справки.

Кстати, покупатели липовых справок тоже могут столкнуться с реалиями правосудия. С учетом последних изменений в 236 статье УК, если действия человека приведут к негативным последствиям, ему может грозить даже вполне реальный срок. А покупка липовой справки – это уже однозначно умысел.
@In4security

Вот отличный пример фишинга под одного из крупнейших российских регистраторов доменов и хостинг-провайдеров.

Утечка логина и пароля от чужого хостинга позволяет злоумышленникам делать массу интересного: можно внедрить вредоносный скрипт на чужой сайт, можно разместить фишинговую страницу на чужом хостинге, можно добраться до чужих VPS и вообще творить все, что душе угодно.

Мы уже сталкивались со случаями, когда фишинговый сайт располагается на одной площадке с легитимным, будучи спрятанным в подпапке внутри, как, впрочем, и с ситуациями, когда пользователям сайта подгружают вредоносный пэйлоад или запускают онлайн-майнер.
@In4security

Выявленный фишинговый сайт располагается на сервере уже знакомой нам «компании» Landgard. После публикации нашей прошлой статьи про этот хостинг мы получили отличную обратную связь от наших читателей, что в итоге помогло нам отбить у Landgard Services диапазон IP-адресов: 94.154.129.0 - 94.154.129.255. Абузоустойчивый хостинг на поверку оказался не таким уж устойчивым.
Впрочем, у Landgard остался еще один диапазон 95.154.44.0-95.154.44.255, на который и переехали все новые фишинговые проекты. Но и это временно.
@In4security

На сегодняшний день фишинг есть подо что угодно. Прошли те времена, когда его использовали в первую очередь для угона аккаунтов. Сейчас логины и пароли тоже ценятся, но куда чаще ценятся непосредственно деньги, которые можно украсть при помощи фейкового сайта.

Вот свежий пример – фейковый сайт Avtokod: https://avto-kod.pw. В отличие от настоящего сайта без оплаты вам не предоставляют никакой информации об автомобиле. Кроме того, на фейковом ресурсе отсутствует регистрация и пакетные предложения – лишь бы вы быстрее перешли к форме ввода данных банковской карты.

За последнюю неделю это уже как минимум второй сайт под автокод, так что будьте внимательны.
@In4security

Ну и на десерт: зачем регистрировать два домена, если можно один? Фишинг под Raiffeisen располагается на https://www.quick-camel.com, а под ВТБ – на https://new.quick-camel.com.

Тенденция с доменами, которые не имеют отношения к организации, на клиентов которой они нацелены, сейчас проявляется достаточно ярко. Ведь можно, к примеру, зарегистрировать еще один домен, уже созвучный с названием банка, и уже на этом сайте открывать фишинг в iframe, как это реализовано в схеме «Хамелеон».

Впрочем, используемые нами технологии позволяют успешно выявлять и такой фишинг.
@In4security

Давно мы не делали обзор банковского фишинга. Давайте посмотрим, что было интересного в июне.

На первом место фишингового рейтинга традиционно находится банк, занимающий первое место в рейтинге российских кредитно-финансовых организаций. В целом же пятерка лидеров выглядит вот так:

ВТБ – более 20 доменов, включая как фейковые страницы входа в личный кабинет, так и несуществующие инвестиционные программы. Среднее время жизни фишингового сайта – от 2 до 7 дней.

Райффайзен – более 12 доменов, не менее 8 действующих сайтов на протяжение июня (в том числе на доменах, не имеющих отношения к банку). Среднее время жизни – от 5 до 12 дней.

Росбанк – более 10 доменов, среднее время жизни – 3-5 дней.

В последние дни наблюдается повышенная активность по банку «Уралсиб». Зарегистрировано порядка десятка доменов, в том числе однозначно опасные uralsib-lagin.ru и uralslb-lagin.ru. Эти домены пока еще не замечены во вредоносной активности, но их написание однозначно намекает на то, что они еще выстрелят.

С учетом современных тенденций маскировки фишинговых сайтов интересно отслеживать то, как осуществляется камуфлирование подобных ресурсов. Вот, например, утекшее описание схемы работы банковского фишингового сайта, защищенного от обнаружения автоматизированными системами мониторинга:

Вход на лендинги открыт только для российских IP.
VPN, Proxy и боты запрещены. Туда же входят и мультилогины (индиго, сфера и пр.) и всякие сомнительные браузеры, устройства и режимы инкогнито. На всех лендингах стоит клоака (подмена контента) от ботов.
Для просмотра лендингов используйте чистое устройство и IP адрес!
Также, если ссылка вставлена из буфера или из закладок браузера - будет показан "белый" контент.
@In4security

Начиная с сегодняшнего дня для посещения кафе и ресторанов в Москве и области требуется предъявить QR-код, подтверждающий факт вакцинации. Так что же делать, если антител нет, а душа просит ходить по ресторанам? Рассказываем.

Существует 2 вида QR-кодов. Первый из них ведет на страницу gosuslugi.ru/vaccine/cert/verify/(код сертификата), второй на сайт: immune.mos.ru/qr?id=(другой код сертификата). По сути, это две равнозначные системы, просто проверка в них реализована чуть по-разному. На странице с подтверждением вакцинации можно увидеть сведения о владельце сертификата о вакцинации: первые буквы ФИО, дату рождения и срок действия. Госуслуги выдают еще и 5 цифр номера паспорта.

Если администратор кафе просто отсканирует QR-код и перейдет в браузере по ссылке, обмануть его не составит труда, благо инструкций в сети более, чем достаточно, а официант не обязан отличать настоящий сайт от ненастоящего. Именно поэтому некоторые официальные московские приложения получили функцию проверки QR-кодов со встроенной защитой от перенаправления на ненастоящий сайт. Только вот эта защита не работает. Она строится на том, что URL должен содержать определенные ключевые слова, имеющие отношение к официальным ресурсам, но она не проверяет в каком именно месте URL находятся эти ключевые слова.

Таким образом, для того, чтобы подделать qr-код, требуется примерно 200 рублей и 15 минут свободного времени. Ну и познания в области Ctrl+C, Ctrl+V на уровне пятиклассника, посетившего 3 урока информатики.

Нам кажется, мы только что обрушили рынок продажи нелегальных QR-кодов о вакцинации…
@In4security

Вот вам пример того, как из официального приложения можно перейти на фейковый сайт.
@In4security

Сегодня одно уважаемое издание со ссылкой на не менее уважаемых экспертов написало, что весной фальшивых доменов госуслуг было всего 2, а сейчас их уже 29. Редакция нашего канала аж чаем подавилась от такого заявления.

Что ж, давайте перепроверим. Начнем с июня. В июне действительно наблюдается всплеск регистрации доменных имен со словом «госуслуги» в разных его вариантах. Всего с 1 по 28 июня было зарегистрировано 89 таких доменов. Уважаемый эксперт ошибся всего лишь в три раза.

Пик регистрации доменных имен начинается с 21 июня. С 22 по 28 июня было зарегистрировано как минимум 81 доменное имя. 15% зарегистрированных в июне доменных имен со словом «госуслуги» явно не имеют отношения к коронавирусу, но остальные вполне могут быть использованы для продвижения истории с QR-кодами. Некоторые из них прямо содержат слова covid, cert и так далее.
@In4security

А что же с весной? С марта по май в сети появилось 66 доменных имен со словом «госуслуги». Тут ошибка вышла аж в 30 раз. Несмотря на то, что большая часть доменов не имеет отношения к коронавирусу, слова эксперта мягко говоря не соответствуют действительности.

Вот такой вот фактчекинг новостей от канала In4security. Ну а если вы сами хотите покопаться в доменах, мы заботливо подготовили для вас подборку с датами регистрации и залили ее на PasteBin: https://pastebin.com/K2DyttZX.

Хорошего вам вечера!
@In4security

Торговать газом уже не модно, теперь в тренде оборонка.

Популярная мошенническая схема с фейковыми сайтами «Газпром-Инвестиций» уже настолько всем приелась, что даже ее создатели это наконец поняли. За последние 2 года мы засекли более 500 ресурсов, предлагавших торговать газом. Все они эксплуатировали один и тот же шаблон, а для придания солидности снабжались еще и фейковой страницей популярного информагентства.

Теперь же в целях поднятия духа патриотизма горе-трейдерам предлагается инвестировать в ВПК. Шаблон сайта, к слову, остался прежним, создатели поленились даже заменить надпись «Министерство энергетики». Параллельно существует еще несколько построенных на этом же шаблоне сайтов, предлагающих другие виды инвестиций. Для маскировки используется домен третьего уровня, который, впрочем, легко обнаруживается через Passive DNS.

А нужно все это лишь для того, чтобы заманить пользователя на сайт, изображающий биржу, где ему придется внести депозит.
@In4security

Для того, чтобы придать весомость предложению, на сайте размещена откровенно фейковая цитата Президента, причем, чтобы нельзя было придраться юридически, все это оформлено так, словно это одновременно и цитата, и не цитата вовсе.

Ну и конечно невозможно не обратить внимание на проекты Оборонной промышленности России. Они настолько прекрасны, что мы даже не будем их комментировать.
@In4security