В апреле-мае этого года в тренды фишинга вернулась почта. Новые домены с таким словом появлялись в сети практически ежедневно. При этом две трети доменов так или иначе связаны с финансовой деятельностью, в частности, с Почта Банком. Это либо подарки от банка за прохождение опроса, либо фейковые платежные шлюзы, используемые в сочетании с другими скам-схемами (http://3ds-pochtabank.ru/).

Но есть и более интересные варианты. Например, сайт http://pochta-vozvrat.ru - возврат средств за отправленную посылку. Вполне очевидно, что это тоже часть более глобального развода в стиле «Авито 3.0», позволяющего второй раз обмануть уже и так обманутого человека. Просто в данном случае все предельно лаконично: просто введите имя, фамилию, номер карты и код из СМС.
@In4security

Ситуация с утечкой данных клиентов сети лабораторий «Гемотест» хоть и серьезная, но не является каким-то из ряда вон выходящим событием. В последние годы в мире в целом и в России в частности было зафиксировано такое количество утечек персональных данных и финансовой информации, что удивить кого-то этим весьма непросто. Главная неприятность в данном случае заключается в том, что сведения о состоянии здоровья относятся к специальной группе персональных данных и должны охраняться особенно хорошо, но, как известно, на каждый сейф найдется своя отмычка. Давайте разберемся, так ли ценны утекшие данные?

На черном рынке прежде всего популярны те данные, которые проще всего использовать и монетизировать с минимальными трудовыми, временными и финансовыми затратами. Например, если эти данные позволяют сразу же вывести деньги из чужих кошельков без дополнительных манипуляций – они будут в приоритете.

Что же скрывает утекшая база «Гемотеста»? Начнем с того, что согласно проанализированным нами семплам, она не содержит, собственно, медицинских данных. В ней имеются: ФИО, дата рождения, адрес, телефон, электронная почта, сведения о паспорте… То есть по факту эта база не особенно отличается от утекшей базы интернет-магазина или курьерской службы. Несомненно, подобные сведения ценнее, чем список номеров банковских карт, утекших из сервиса Joom, но путь монетизации подобной информации будет весьма долог и тернист. Да и способы превращения этой информации в реальные деньги доступны далеко не каждому.

Тот факт, что за базу, содержащую 31 миллион строк, злоумышленники хотят получить всего 650 долларов, то есть порядка 40 с небольшим тысяч рублей (или 1 рубль примерно за 700+ записей), говорит о том, что её продавцы не видят в ней особой ценности и просто хотят получить хоть какие-то деньги по итогам успешного взлома. И конечно дополнительным фактором, снижающим ценность данной информации, является и то, что утечка стала общеизвестной, а значит «Гемотест» может проинформировать своих клиентов о возможной угрозе.

С учетом того, что утекшие данные не содержат сведений о здоровье граждан, единственным вероятным применением данной базы видится её использование в целях OSINT или социальной инженерии. Именно поэтому мы можем прогнозировать рост числа адресных телефонных мошенничеств и спам-рассылок в отношении людей, чьи данные содержатся в утекшей базе. Ну а то, что адресные рассылки и звонки показывают большую эффективность по сравнению с «холодными» обзвонами, думаем, ни для кого не секрет. При этом наибольшая активность злоумышленников как правило наблюдается в течение 10-12 дней с момента появления инфоповода, поэтому мы в превентивном порядке перенастроили наши фильтры в целях обнаружения и блокирования вредоносных ресурсов, эксплуатирующих тематику «Гемотеста». Так что в ближайшие две недели мы намерены активно выявлять и безвозмездно нейтрализовывать все обнаруженные нами фишинговые угрозы, связанные с этой утечкой.
@In4security

Как здорово, что мошенники редко меняют свою специализацию и ленятся заводить новые учетные записи для регистрации доменов. Это отлично помогает отслеживать их новые проекты.

Впрочем, в нынешних условиях привычные схемы работы теряют былую эффективность, а это значит, что мошенники ищут новые пути заработка, а главное – вывода денег. Отличным примером смены стратегии являются недобросовестные юристы.

Один их самых успешных «юридических» проектов - center-legal.com был запущен в начале 2021 года. Его создатели за небольшую комиссию предлагали возврат украденных средств, активно продвигая свои услуги в сервисах контекстной рекламы. Подобного рода объявления можно было встретить повсюду: в социальных сетях, на новостных и развлекательных сайтах. Но в течение полугода лжеюристов успешно разоблачили на тематических ресурсах.

И вот тогда «юристы» решили испробовать иную стратегию, убрав все упоминания персоналий и организаций, и начали предлагать услуги от имени несуществующей Государственной службы по поиску арестованных денежных счетов (reestr-brokerov.com). Только вот лень помешала им почистить исходники сайта, они лишь слегка изменили его дизайн, оставив в коде массу артефактов от предыдущего проекта.

Но и этот проект, как говорится, не взлетел. Поэтому в последнюю неделю его создатели развернули куда более простой и проверенный скам-сценарий – фейковые автомобильные штрафы и платежи за проезд по платным дорогам.

Так что теперь вы можете просто оплатить 1260 рублей якобы за проезд по ЦКАД на сайте CKAD-ONLINE.ru (который редиректит на новый ресурс https://sbpservice.net/ckad/oplata.html) или оплатить 500-рублевый штраф на фейковом сайте Госавтоинспекции по адресу: https://sbpservice.net/ (данные можете не вводить, ведь ГИБДД знает о вас все!). Схема проста и эффективна: спам рассылки в связке со скам-сайтами творят чудеса.

Отдельный интерес представляет то, что сайты хостятся на территории ЛНР. Мы и раньше встречали абузоустойчивые хостинги на территории данной республики, но теперь, в условиях, когда оплатить банковской картой манящий зарубежный хостинг стало проблематично, подобные конторы обретают новую волну популярности.
@In4security

Использование стоковых изображений в качестве портретов сотрудников ужу давно никого не удивляет.

@In4security

Нашумевший сайт, на котором была размещена карта с адресами расположения клиентов сервиса Яндекс.Еда и Суши Мастер, обновил информацию. Теперь он объединяет в себе целый ряд утечек, включая сведения о клиентах Wildberries, Pikabu, Delivery Club и даже ГИБДД.

Несмотря на блокировку в России сайт живее всех живых и даже содержит инструкции, позволяющие поднять у себя на компе его локальное зеркало. В общем-то это все, что необходимо знать о сохранности персональных данных в современном мире.
@In4security

Сегодня некоторые источники сообщили о взломе «Сколково». Мы проанализировали данные и пришли к выводу, что утечка скорее всего затронула сайт Школы бизнес управления Сколково - https://www.skolkovo.ru.

В результате атаки в общем доступе оказались 3 sql-дампа общим размером порядка 3.5 гигабайт, охватывающие период с 2013 по ноябрь 2021 года. Помимо различного мусора дампы содержат сведения о пользователях сайта, лицах, запрашивавших данные об обучении, а также сведения об оплате курсов и проживания в гостиницах на время обучения. Какой-либо платежной или иной конфиденциальной информации (не считая ПД) в размещенных базах не выявлено.
@In4security

Казалось бы, качать софт с официального сайта производителя или с авторитетного маркетплейса – это один из базовых принципов информационной безопасности. Но вот только далеко не все будут внимательно проверять, является ли этот сайт официальным или нет, тем более если он выскакивает в первых строках поисковика.

Именно этим пользуются создатели ресурсов типа https://whatsapp-install.ru/ или https://telegram-setup.ru/. Хотите скачать мессенджер? Без проблем. Нажимаете на кнопку и получаете инсталлятор. Но есть один нюанс. Это не инсталлятор мессенджера.

Запускать непонятные файлы на своем компьютере не самая хорошая идея, так что мы воспользуемся отличным инструментом для кибербезопасника – виртуальным анализатором Dr.Web VxCube, который позволяет на виртуальной машине отследить все действия, которые совершает рассматриваемая нами программа.

На выходе мы видим, что скачанный с сайта https://whatsapp-install.ru/ файл имеет вполне себе вредоносную составляющую. Помимо того, что вместо WhatsApp он устанавливает «универсальный установщик программ» UnoSetup, классифицируемый многими антивирусами в качестве нежелательного рекламного п/о, он также создает массу рекламных ярлыков, меняет домашние страницы в браузерах, а самое главное – производит инжект в системный процесс. То есть по факту мы имеем дело с трояном-загрузчиком, который с молчаливого согласия пользователя устанавливает ему в систему массу ненужных компонентов.

В сети можно найти множество вопросов от пользователей: как удалить UnoSetup и сопутствующие ему элементы. Ответ прост – лучше его просто не ставить.

Но ведь не думаете же вы, что создатели двух вышеупомянутых сайтов ограничатся мессенджерами? Конечно же нет, проанализируем их учетку. К ней привязано аж 148 доменов в зоне .RU, каждый из которых недвусмысленно намекает нам на какую-нибудь популярную программу, начиная от системных утилит и заканчивая играми. На каждом из этих сайтов вместо заветного инсталлятора пользователь получит очередную порцию рекламного мусора, который будет так непросто удалить из системы.

Впрочем, существует и куда более серьезная угроза. Получив троян-загрузчик на свой компьютер, вы рискуете стать, скажем, частью ботнета, который будет осуществлять DDoS-атаки, или перебирать чужие пароли, или рассылать спам. Как вы понимаете, в текущих условиях – это отнюдь не иллюзорная угроза.
@In4security

Едва мы успели написать об обновлении на сайте-агрегаторе утекших персональных данных, как в сеть выложили базу заказов DeliveryClub.

База на 250 миллионов строк содержит ФИО, адреса, информацию о заказах и иные данные и распространяется бесплатно. В настоящее время по файлообменникам уже гуляет файл на 1 миллион строк, который выглядит вполне правдоподобно.

В проанализированном нами файле имеются сведения о заказах с 25.05.2020 по 02.07.2021, а последняя техническая запись датируется 7 сентября 2021 года.

Год для российских служб доставки явно не задался.
@In4security

«Алло! Хакер»
Заказывать еду становится все страшнее. DeliveryClub, Яндекс.Еда, СушиМастер… Есть шансы, что теперь очередь дошла до сети пиццерий «Алло! Пицца».

На этой неделе в одном хакерском чатике разместили пост с предложением отдать любому желающему доступ к серверу «Алло! Пиццы», мол, что хотите, то и делайте, хоть – шифровальщика загрузите. К слову, сервер отдают через Reverse Shell, а значит человек, который решит им воспользоваться, должен обладать какой-никакой квалификацией.

Хакер ничуть не скрывает факт того, что он уже выкачал базу клиентов, но зачем же вот так отдавать сервер, который можно поюзать самому?

Ответ прост – надо замести следы. Выложить в паблик взломанный ресурс, который внезапно стал не нужен, это отработанная годами тактика. Счастливый приобретатель хакнутого аккаунта или сервера легко станет крайним в случае, если инцидент будет расследоваться. Ну а если предоставить доступ вообще всем желающим (в случае с реверс шеллом, впрочем, это не особо сработает), то счастливые любители халявы, фигурально выражаясь, затопчут все улики, замусорив логи своими бессмысленными следами.

Ну а «Алло! Пицца»… Есть шансы, что вскоре в паблике всплывет еще одна база с персональными данными россиян… Мы уведомили компанию, но так и не получили никакой реакции на сообщения.
@In4security

Витя, решай сам, та-тань!

Льготная ипотека под 5%, знаете ли, на дороге не валяется, поэтому в Tinder стали массово появляться анкеты девушек, желающих познакомиться именно с IT-специалистами. Казалось бы, что тут плохого? А то, что параллельно с этим мы фиксируем новую волну появления фейковых сайтов кафе, ресторанов, кальянных, театров и прочих музеев. Конечно, уже неоднократно писали о данном явлении, но сейчас оно переживает очередной всплеск. Только вчера в зоне .RU появилось как минимум 17 подобных ресурсов (https://pastebin.com/w5WK5H0e). Так что желающие любви айтишники (и не только) вместо приятного вечера в компании обворожительной девушки рискуют лишиться средств на оплату даже льготной ипотеки.

Но ИБ-компании на защите родных IT-специалистов! Поэтому мы регулярно выявляем и отправляем на блокировку десятки самых разных сайтов категории DATING SCAM несмотря на все ухищрения мошенников. Они, конечно, учатся на своих ошибках, например, запускают платежный шлюз, на котором, собственно, и происходит магия по отъему денег, лишь в самый последний момент, защищая тем самым его от обнаружения. Но ленивость скамеров придумать что-то новое не дает им нормально заработать на виртуальном влюбленном, так как они используют одинаковые шаблоны и метрики, а мы оперативно находим и блокируем такие сайты, как говорят - "будешь кусать себе локти, по щелчку, в 3:15".

Так что будьте внимательны, ходите на свидания в проверенные места, к тому же девушки любят умных ИТишников, поэтому докажите что вы как раз такой и не ведитесь на фишинговые сайты. Ну а мы вам в этом поможем.
@In4security