А вот и примеры сайтов, на которых распространяется данное вредоносное п/о, а также результат анализа файла в Dr.Web VxCube.
@In4security
@In4security
👍9😁3❤1
Едва мы успели написать об обновлении на сайте-агрегаторе утекших персональных данных, как в сеть выложили базу заказов DeliveryClub.
База на 250 миллионов строк содержит ФИО, адреса, информацию о заказах и иные данные и распространяется бесплатно. В настоящее время по файлообменникам уже гуляет файл на 1 миллион строк, который выглядит вполне правдоподобно.
В проанализированном нами файле имеются сведения о заказах с 25.05.2020 по 02.07.2021, а последняя техническая запись датируется 7 сентября 2021 года.
Год для российских служб доставки явно не задался.
@In4security
База на 250 миллионов строк содержит ФИО, адреса, информацию о заказах и иные данные и распространяется бесплатно. В настоящее время по файлообменникам уже гуляет файл на 1 миллион строк, который выглядит вполне правдоподобно.
В проанализированном нами файле имеются сведения о заказах с 25.05.2020 по 02.07.2021, а последняя техническая запись датируется 7 сентября 2021 года.
Год для российских служб доставки явно не задался.
@In4security
😁45🤬27👍25🤯6😢6🔥2
«Алло! Хакер»
Заказывать еду становится все страшнее. DeliveryClub, Яндекс.Еда, СушиМастер… Есть шансы, что теперь очередь дошла до сети пиццерий «Алло! Пицца».
На этой неделе в одном хакерском чатике разместили пост с предложением отдать любому желающему доступ к серверу «Алло! Пиццы», мол, что хотите, то и делайте, хоть – шифровальщика загрузите. К слову, сервер отдают через Reverse Shell, а значит человек, который решит им воспользоваться, должен обладать какой-никакой квалификацией.
Хакер ничуть не скрывает факт того, что он уже выкачал базу клиентов, но зачем же вот так отдавать сервер, который можно поюзать самому?
Ответ прост – надо замести следы. Выложить в паблик взломанный ресурс, который внезапно стал не нужен, это отработанная годами тактика. Счастливый приобретатель хакнутого аккаунта или сервера легко станет крайним в случае, если инцидент будет расследоваться. Ну а если предоставить доступ вообще всем желающим (в случае с реверс шеллом, впрочем, это не особо сработает), то счастливые любители халявы, фигурально выражаясь, затопчут все улики, замусорив логи своими бессмысленными следами.
Ну а «Алло! Пицца»… Есть шансы, что вскоре в паблике всплывет еще одна база с персональными данными россиян… Мы уведомили компанию, но так и не получили никакой реакции на сообщения.
@In4security
Заказывать еду становится все страшнее. DeliveryClub, Яндекс.Еда, СушиМастер… Есть шансы, что теперь очередь дошла до сети пиццерий «Алло! Пицца».
На этой неделе в одном хакерском чатике разместили пост с предложением отдать любому желающему доступ к серверу «Алло! Пиццы», мол, что хотите, то и делайте, хоть – шифровальщика загрузите. К слову, сервер отдают через Reverse Shell, а значит человек, который решит им воспользоваться, должен обладать какой-никакой квалификацией.
Хакер ничуть не скрывает факт того, что он уже выкачал базу клиентов, но зачем же вот так отдавать сервер, который можно поюзать самому?
Ответ прост – надо замести следы. Выложить в паблик взломанный ресурс, который внезапно стал не нужен, это отработанная годами тактика. Счастливый приобретатель хакнутого аккаунта или сервера легко станет крайним в случае, если инцидент будет расследоваться. Ну а если предоставить доступ вообще всем желающим (в случае с реверс шеллом, впрочем, это не особо сработает), то счастливые любители халявы, фигурально выражаясь, затопчут все улики, замусорив логи своими бессмысленными следами.
Ну а «Алло! Пицца»… Есть шансы, что вскоре в паблике всплывет еще одна база с персональными данными россиян… Мы уведомили компанию, но так и не получили никакой реакции на сообщения.
@In4security
👍40🤬10👎4🤔4😁2
Витя, решай сам, та-тань!
Льготная ипотека под 5%, знаете ли, на дороге не валяется, поэтому в Tinder стали массово появляться анкеты девушек, желающих познакомиться именно с IT-специалистами. Казалось бы, что тут плохого? А то, что параллельно с этим мы фиксируем новую волну появления фейковых сайтов кафе, ресторанов, кальянных, театров и прочих музеев. Конечно, уже неоднократно писали о данном явлении, но сейчас оно переживает очередной всплеск. Только вчера в зоне .RU появилось как минимум 17 подобных ресурсов (https://pastebin.com/w5WK5H0e). Так что желающие любви айтишники (и не только) вместо приятного вечера в компании обворожительной девушки рискуют лишиться средств на оплату даже льготной ипотеки.
Но ИБ-компании на защите родных IT-специалистов! Поэтому мы регулярно выявляем и отправляем на блокировку десятки самых разных сайтов категории DATING SCAM несмотря на все ухищрения мошенников. Они, конечно, учатся на своих ошибках, например, запускают платежный шлюз, на котором, собственно, и происходит магия по отъему денег, лишь в самый последний момент, защищая тем самым его от обнаружения. Но ленивость скамеров придумать что-то новое не дает им нормально заработать на виртуальном влюбленном, так как они используют одинаковые шаблоны и метрики, а мы оперативно находим и блокируем такие сайты, как говорят - "будешь кусать себе локти, по щелчку, в 3:15".
Так что будьте внимательны, ходите на свидания в проверенные места, к тому же девушки любят умных ИТишников, поэтому докажите что вы как раз такой и не ведитесь на фишинговые сайты. Ну а мы вам в этом поможем.
@In4security
Льготная ипотека под 5%, знаете ли, на дороге не валяется, поэтому в Tinder стали массово появляться анкеты девушек, желающих познакомиться именно с IT-специалистами. Казалось бы, что тут плохого? А то, что параллельно с этим мы фиксируем новую волну появления фейковых сайтов кафе, ресторанов, кальянных, театров и прочих музеев. Конечно, уже неоднократно писали о данном явлении, но сейчас оно переживает очередной всплеск. Только вчера в зоне .RU появилось как минимум 17 подобных ресурсов (https://pastebin.com/w5WK5H0e). Так что желающие любви айтишники (и не только) вместо приятного вечера в компании обворожительной девушки рискуют лишиться средств на оплату даже льготной ипотеки.
Но ИБ-компании на защите родных IT-специалистов! Поэтому мы регулярно выявляем и отправляем на блокировку десятки самых разных сайтов категории DATING SCAM несмотря на все ухищрения мошенников. Они, конечно, учатся на своих ошибках, например, запускают платежный шлюз, на котором, собственно, и происходит магия по отъему денег, лишь в самый последний момент, защищая тем самым его от обнаружения. Но ленивость скамеров придумать что-то новое не дает им нормально заработать на виртуальном влюбленном, так как они используют одинаковые шаблоны и метрики, а мы оперативно находим и блокируем такие сайты, как говорят - "будешь кусать себе локти, по щелчку, в 3:15".
Так что будьте внимательны, ходите на свидания в проверенные места, к тому же девушки любят умных ИТишников, поэтому докажите что вы как раз такой и не ведитесь на фишинговые сайты. Ну а мы вам в этом поможем.
@In4security
Pastebin
Первая учетная запись:theatrtour-prewier.rutheatretolkin.rutourdram-theatr - Pastebin.com
Pastebin.com is the number one paste tool since 2002. Pastebin is a website where you can store text online for a set period of time.
😁17👍9❤3👎2👏2
P.S. Мы ни в коей мере не утверждаем, что представленные примеры анкет девушек причастны к скаму, но поверьте, мошенников на сайтах знакомств действительно пруд пруди.
@In4security
@In4security
😁21🤮19👍1
Ох, рано встает охрана...
Но вы сможете им помочь выспаться, так как контролируете CRM одного охранного предприятия в г. Сочи.
Да, именно такое предложение появилось на одном закрытом тематическом Telegram-канале. В одни руки отдают полный доступ к CRM охранной компании, с пультом управления и мониторинга объектов. Сочинский Мориарти был бы доволен. Одним движением кнопки можно направить все экипажи на объекты подальше от мест "работы" своих подельников.
Или, наоборот, вовремя отключить сигнал тревоги на интересующем вас объекте.
Недавние печальные события в детских садах и учебных учреждениях, еще раз подтверждает нам важность усиления защиты доступа к охранным системам и повышенной ответственности за их работоспособность.
@In4security
Но вы сможете им помочь выспаться, так как контролируете CRM одного охранного предприятия в г. Сочи.
Да, именно такое предложение появилось на одном закрытом тематическом Telegram-канале. В одни руки отдают полный доступ к CRM охранной компании, с пультом управления и мониторинга объектов. Сочинский Мориарти был бы доволен. Одним движением кнопки можно направить все экипажи на объекты подальше от мест "работы" своих подельников.
Или, наоборот, вовремя отключить сигнал тревоги на интересующем вас объекте.
Недавние печальные события в детских садах и учебных учреждениях, еще раз подтверждает нам важность усиления защиты доступа к охранным системам и повышенной ответственности за их работоспособность.
@In4security
👍14💩7🔥3😱2❤1
В открытом доступе появился файл, согласно описанию содержащий данные пользователей образовательной платформы GeekBrains.
Распространяемый в настоящее время файл содержит 100 тысяч строк, при этом указывается, что полная база насчитывает аж 6 миллионов записей.
Помимо адресов электронной почты, имен и телефонов пользователей в размещенном фрагменте базы присутствует большое количество тестовых записей, связанных с сервисом GeekBrains, что может подтверждать реальность выложенных данных.
@In4security
Распространяемый в настоящее время файл содержит 100 тысяч строк, при этом указывается, что полная база насчитывает аж 6 миллионов записей.
Помимо адресов электронной почты, имен и телефонов пользователей в размещенном фрагменте базы присутствует большое количество тестовых записей, связанных с сервисом GeekBrains, что может подтверждать реальность выложенных данных.
@In4security
😁30🤬14👍3💩2
Вчера в сети появилось сообщение о продаже базы данных клиентов школы английского языка SkyEng, а сегодня все профильные Telegram-каналы написали об этом, забыв упомянуть пару важных моментов.
Во-первых, база SkyEng продается аж с 2020 года. Не верите? Ловите ссылку на наш пост от 12 июня 2020. Только тогда в базе насчитывалось 5 миллионов записей, а теперь 7, что может говорить о том, что у злоумышленников все это время был к ней доступ.
Во-вторых, фрагменты базы довольно давно гуляют по даркнету, всплывая то тут, то там. Сегодня, например, на одном из форумов абсолютно бесплатно выложили фрагмент этой базы на 85 тысяч строк, охватывающий период с 2017 по 2022 год. Похоже, что за 2 года покупателей на эту информацию так и не нашлось.
Ну а нам остается лишь резюмировать, что в наши дни опасно уже не только заказывать еду или учиться на айтишника, но даже просто изучать английский.
UPD. В комментариях к данному посту представители SkyEng как и в 2020 году продолжают отрицать факт утечки.
@In4security
Во-первых, база SkyEng продается аж с 2020 года. Не верите? Ловите ссылку на наш пост от 12 июня 2020. Только тогда в базе насчитывалось 5 миллионов записей, а теперь 7, что может говорить о том, что у злоумышленников все это время был к ней доступ.
Во-вторых, фрагменты базы довольно давно гуляют по даркнету, всплывая то тут, то там. Сегодня, например, на одном из форумов абсолютно бесплатно выложили фрагмент этой базы на 85 тысяч строк, охватывающий период с 2017 по 2022 год. Похоже, что за 2 года покупателей на эту информацию так и не нашлось.
Ну а нам остается лишь резюмировать, что в наши дни опасно уже не только заказывать еду или учиться на айтишника, но даже просто изучать английский.
UPD. В комментариях к данному посту представители SkyEng как и в 2020 году продолжают отрицать факт утечки.
@In4security
👍26🤮7❤2😁1🤔1
Следить нужно не только за своим здоровьем, но и за своим доменом.
К сожалению, это не получилось у члена комитета Государственной Думы по охране здоровья, как, впрочем, и ранее у Прокуратуры Тамбовской области.
Забывчивостью аппарата депутата воспользовался неизвестный веб-дизайнер и успешно перекупив некогда официальный домен, залендил его под рекламу сайта с проститутками, немного подредактировав предыдущую версию сайта.
Интересно, что владельцу домена принадлежит целых 175 доменных имен в зоне .RU, большая часть из которых используется для сайтов мелкого бизнеса. Вот только в какой-то момент помимо сайтов для адвокатов, фирм по продаже детских велосипедов или калининградского роддома в портфолио нашего дизайнера появились многочисленные зеркала сайта по выбору ночных бабочек, с которым уже год борется Роскомнадзор.
@In4security
К сожалению, это не получилось у члена комитета Государственной Думы по охране здоровья, как, впрочем, и ранее у Прокуратуры Тамбовской области.
Забывчивостью аппарата депутата воспользовался неизвестный веб-дизайнер и успешно перекупив некогда официальный домен, залендил его под рекламу сайта с проститутками, немного подредактировав предыдущую версию сайта.
Интересно, что владельцу домена принадлежит целых 175 доменных имен в зоне .RU, большая часть из которых используется для сайтов мелкого бизнеса. Вот только в какой-то момент помимо сайтов для адвокатов, фирм по продаже детских велосипедов или калининградского роддома в портфолио нашего дизайнера появились многочисленные зеркала сайта по выбору ночных бабочек, с которым уже год борется Роскомнадзор.
@In4security
😁36👍4🥰3🤔1💩1
Злоумышленники, которые еще недавно атаковали клиентов пиццерий, переключились на любителей алкоголя. В мессенджерах активно распространяются ссылки на фейковые сайты акции от сети «Красное и Белое». Данная scam-схема является очередной реализацией «сайтов с коробочками», на которых жертва якобы выигрывает приз, после чего требуется разослать информацию об акции 10 или 20 своим друзьям в мессенджере, а затем ввести данные банковской карты.
Данная схема была раскрыта нами еще месяц назад. На сегодняшний день выявлено и более 400 задействованных в ней доменов. в зонах .cf, ml и так далее. Это африканские доменные зоны, зарегистрировать домен в которых можно бесплатно и автоматически через регистратора Freenom.
Основная аудитория мошенников - пользователи WhatsApp, которые охотно пересылают друг другу вредоносные ссылки.
Несмотря на то, что жертву переадресовывают через несколько доменов, которые меняются, мы успешно обнаруживаем такие атаки и блокируем цепочки вредоносных доменов.
@In4security
Данная схема была раскрыта нами еще месяц назад. На сегодняшний день выявлено и более 400 задействованных в ней доменов. в зонах .cf, ml и так далее. Это африканские доменные зоны, зарегистрировать домен в которых можно бесплатно и автоматически через регистратора Freenom.
Основная аудитория мошенников - пользователи WhatsApp, которые охотно пересылают друг другу вредоносные ссылки.
Несмотря на то, что жертву переадресовывают через несколько доменов, которые меняются, мы успешно обнаруживаем такие атаки и блокируем цепочки вредоносных доменов.
@In4security
👍12💩2❤1
Карты, деньги, два dump-а
Сейчас спрос на карты зарубежных банков с положительным балансом необычайно велик и это не удивительно, ведь ими можно оплачивать иностранные сервисы, ставшие недоступными в России.
А где есть спрос, найдется и предложение. Именно поэтому фейковые магазины по продаже дампов переживают сейчас второе рождение. Вчера, например, более 10% зарегистрированных доменов в зоне .RU пришлось на домены магазинов по продаже дампов. Последний раз мы фиксировали нечто подобное в марте 2021 года, но тогда их количество было в 20 раз меньше.
Естественно, пытаться купить краденую зарубежную карту – плохая идея. Помимо риска потери аккаунтов история вполне может закончиться реальным уголовным делом. Впрочем, сайты, о которых мы говорим сегодня, рассчитаны на неопытных людей и не имеют в продаже реальных карт никакого отношения. Это просто декорация для отъема денег у тех, кто точно не будет обращаться в полицию.
@In4security
Сейчас спрос на карты зарубежных банков с положительным балансом необычайно велик и это не удивительно, ведь ими можно оплачивать иностранные сервисы, ставшие недоступными в России.
А где есть спрос, найдется и предложение. Именно поэтому фейковые магазины по продаже дампов переживают сейчас второе рождение. Вчера, например, более 10% зарегистрированных доменов в зоне .RU пришлось на домены магазинов по продаже дампов. Последний раз мы фиксировали нечто подобное в марте 2021 года, но тогда их количество было в 20 раз меньше.
Естественно, пытаться купить краденую зарубежную карту – плохая идея. Помимо риска потери аккаунтов история вполне может закончиться реальным уголовным делом. Впрочем, сайты, о которых мы говорим сегодня, рассчитаны на неопытных людей и не имеют в продаже реальных карт никакого отношения. Это просто декорация для отъема денег у тех, кто точно не будет обращаться в полицию.
@In4security
👍7🔥2❤1
Параллельно с середины мая мы наблюдаем огромную волну размещения массивов банковских карт на различных Darknet-форумах и в тематических Telegram-каналах. Менее чем за месяц нами были обнаружены и проанализированы файлы, содержащие сведения о 50+ миллионах карт.
В то же время проведенный нами анализ показывает, что большая часть размещаемых баз состоит из искусственно сгенерированных номеров карт, не имеющих отношения к реальности. Выгрузки содержат огромное количество повторов и пересечений (одинаковые номера с разными датами и CVV), кроме того, сроки валидности многих карт колеблются в диапазоне с января по сентябрь, что может быть связано с настройками генератора.
Мотивом таких действий может являться желание прокачать себе репутацию в теневых сообществах (когда базы выкладываются бесплатно) или подзаработать (когда они продаются). В любом случае, 90% изученного нами материала является откровенным мусором.
@In4security
В то же время проведенный нами анализ показывает, что большая часть размещаемых баз состоит из искусственно сгенерированных номеров карт, не имеющих отношения к реальности. Выгрузки содержат огромное количество повторов и пересечений (одинаковые номера с разными датами и CVV), кроме того, сроки валидности многих карт колеблются в диапазоне с января по сентябрь, что может быть связано с настройками генератора.
Мотивом таких действий может являться желание прокачать себе репутацию в теневых сообществах (когда базы выкладываются бесплатно) или подзаработать (когда они продаются). В любом случае, 90% изученного нами материала является откровенным мусором.
@In4security
👍28
Personal Data Delivery…
И снова новости об утечках. Сегодня в сеть выложили файл на 1,2 миллиона строк размером 4.2 гигабайта, который, согласно описанию, может содержать вторую часть базы клиентов Delivery Club. Самая ранняя запись в базе датируется18 октября 2019, самая поздняя – 2 июля 2021 года. Файл уже активно расходится по тематическим каналам и форумам.
Только подумали, а не заказать ли на дом еду на вечер пятницы? Пожалуй, сходим за едой сами.
@In4security
И снова новости об утечках. Сегодня в сеть выложили файл на 1,2 миллиона строк размером 4.2 гигабайта, который, согласно описанию, может содержать вторую часть базы клиентов Delivery Club. Самая ранняя запись в базе датируется18 октября 2019, самая поздняя – 2 июля 2021 года. Файл уже активно расходится по тематическим каналам и форумам.
Только подумали, а не заказать ли на дом еду на вечер пятницы? Пожалуй, сходим за едой сами.
@In4security
👍23🥰1
В даркнете распространяется информация о взломе ресурсов РН-Банка, а также компаний «Аскона» и Terrasoft.
Согласно размещенным данным, атака была осуществлена через эксплуатацию 0-Day уязвимости, в качестве доказательств успеха злоумышленники опубликовали массив данных карт клиентов РН-Банка (номер, дата, CVV). Размещенный пробник содержит сведения о полутора тысячах карт, а их общее количество составляет порядка 6 тысяч. Проблема заключается в том, что размещенные номера карт принадлежат РНКБ, а не РН-Банку.
Российский сайт Terrasoft в настоящее время недоступен.
UPD: Номера карт в пробнике не являются действительными.
@In4security
Согласно размещенным данным, атака была осуществлена через эксплуатацию 0-Day уязвимости, в качестве доказательств успеха злоумышленники опубликовали массив данных карт клиентов РН-Банка (номер, дата, CVV). Размещенный пробник содержит сведения о полутора тысячах карт, а их общее количество составляет порядка 6 тысяч. Проблема заключается в том, что размещенные номера карт принадлежат РНКБ, а не РН-Банку.
Российский сайт Terrasoft в настоящее время недоступен.
UPD: Номера карт в пробнике не являются действительными.
@In4security
🔥10👍5👎4😁1🤬1
Используете платные дороги? Тогда вам следует внимательно следить за тем, на каком ресурсе вы оплачиваете поездку.
В сети стали появляться фейковые сайты, имитирующие портал оператора платных дорог «Автодор». После ввода номера автомобиля, телефона и адреса электронной почты вы узнаете о том, что за вами числится задолженность в произвольном размере. Для её оплаты естественно будет нужно ввести данные карты и код из СМС. Причем эти данные будут использованы не для списания денег, а для сброса пароля от вашего онлайн-банкинга, что куда опаснее.
Схема двухступенчатая. Фейковые сайты https://avtodor-gos.ru и https://avtodor-msk.ru осуществляют редирект на https://avtodor-msk.me/ckad/index.html, на котором и происходит платежная магия. Примечательно, что если на втором ресурсе убрать из пути /ckad/index.html, вместо поддельного сайта «Автодора» откроется фейковый сайт ГИБДД, на котором вам предложат поискать неоплаченные штрафы.
@In4security
В сети стали появляться фейковые сайты, имитирующие портал оператора платных дорог «Автодор». После ввода номера автомобиля, телефона и адреса электронной почты вы узнаете о том, что за вами числится задолженность в произвольном размере. Для её оплаты естественно будет нужно ввести данные карты и код из СМС. Причем эти данные будут использованы не для списания денег, а для сброса пароля от вашего онлайн-банкинга, что куда опаснее.
Схема двухступенчатая. Фейковые сайты https://avtodor-gos.ru и https://avtodor-msk.ru осуществляют редирект на https://avtodor-msk.me/ckad/index.html, на котором и происходит платежная магия. Примечательно, что если на втором ресурсе убрать из пути /ckad/index.html, вместо поддельного сайта «Автодора» откроется фейковый сайт ГИБДД, на котором вам предложат поискать неоплаченные штрафы.
@In4security
🔥9👍4👏3😁3💩1