Сегодня в сеть выложили список участников программы лояльности оператора Tele2.

Размещенная база на 7 миллионов строк содержит ФИО, дату рождения, телефонный номер, пол и почту абонента, а также целый ряд служебных данных, и охватывает период с 2017 по лето 2022 года.

Некоторые опасения вызывает то, что все женские имена в базе помечены мужским полом, но мы в такие времена живем, что возможно эти люди просто идентифицируют себя в качестве мужчин.

Анализ служебных данных указывает на то, что данные действительно принадлежат Tele2. Но, как мы знаем, за первую утечку у нас не штрафуют.
@In4security

Какая может быть связь между сайтом посольства и рекламой казино? Как выяснилось, они могут располагаться на одном домене, правда домен этот весьма любопытный. Если мы введем в Яндексе запрос «Посольство Анголы», на первом месте в поисковой выдаче мы увидим сайт: https://angolarussia.com. А если мы поищем чуть получше, мы найдем и появившегося вчера его близнеца - https://angola-russia.ru. Эти сайты объединяет многое. Оба они висят за CloudFlare, оба застыли в прошлом, ведь последней новостью на них висит информация о праздновании 41-летия независимости Республики Ангола, которое состоялось в 2016 году, оба в разделе контакты имеют ссылку на ныне недоступный сайт https://angolarussia.ru и… *вот это поворот* ссылку на украинское онлайн-казино и казино «Вулкан», причем рекламная страница последнего лежит на том же домене, что и фейковый сайт посольства.

Любопытно, что владелец вчерашнего домена https://angola-russia.ru зарегистрировал аж 400 доменов, напрямую связанных с различными онлайн-казино, но искать корни этой истории нужно не там, а на ныне несуществующем сайте angolarussia.ru, память о котором хранит веб-архив.

Впервые этот домен был зарегистрирован еще в 2003 году и судя по архиву, на нем действительно располагался сайт Посольства Республики Ангола. Но начиная с 2016 года, которым и датированы последние новости, что-то пошло не так. Сайт перестал обновляться. А в 2019 году регистрацию домена не продлили, его перерегистрировал кто-то другой и… поднял на нем точно такой же сайт, что и был раньше. Можно было бы подумать, что это старые владельцы опомнились и перехватили едва не упущенный ими домен, но вот только ресурс переехал за CloudFlare, а спустя некоторое время с ним начали происходить чудеса.

В Веб-архиве отлично видно, что в начале 2019 года никаких посторонних ссылок еще не было, но к февралю 2020 года на нем появилась реклама украинского казино, а в июле-августе 2020 – та самая ссылка на казино «Вулкан» в правом нижнем углу.

Предлагаем нашим читателям высказать в комментариях свои идеи относительно того, почему для рекламы онлайн-казино был выбран давно неактуальный сайт посольства этой африканской страны.
@In2security

Киберсквоттеры не дремлют

Едва успела вчера компания МТС сообщить о создании новой дочерней компании в сфере ИБ – Serenity Cyber Security, как сразу же кто-то зарегистрировал 4 домена:
serenitycs.ru
serenitycyber.ru
serenitycybersec.ru
serenitycybersecurity.ru

Понятное дело, что сама компания МТС не стала бы выбирать для себя домены в день выпуска пресс релиза, да и зарегистрированы они на физическое лицо, которому заодно принадлежит несколько сотен других доменов подозрительно созвучных с различными брендами.

Интересно, какая судьба ожидает эти домены. В лучшем случае их попытаются продать МТС, ну а в худшем – продать тем, кто решит применить их в целях фишинга от лица новой ИБ-компании. Так что оставлять жизнь этих доменных имен без внимания явно не стоит.
@In2security

И снова ваша любимая рубрика «ленивый фишинг». Сегодня рассматриваем совсем свежий сайт https://biletoplata.ru. И это хорошая заявка на первое место в нашем рейтинге. Жертве предлагается самостоятельно ввести название мероприятия и сумму для оплаты. Что ж, попробуем купить билеты на Цирк с конями рублей за 100.

Оплата проводится через сервис https://www.payanyway.ru, при этом в коде страницы прекрасно виден идентификатор подключенного к платежному сервису «магазина»: 13723732 (думаем, эта информация пригодится безопасникам Payanyway).

Естественно, такой сайт не может существовать сам по себе. Вероятнее всего он является звеном в цепочке очередного dating-scam проекта и работает в связке с другими ресурсами и социальной инженерией. Вот только интересно, какую легенду придумывают для того, чтобы уговорить человека самого ввести сумму и название мероприятия? Делитесь своими версиями в комментариях.
@In2security

Говорят, талантливый человек талантлив во всем. Давайте проверим это утверждение на примере очередной киберпреступной группы, благо как минимум один «талант» - регистрировать все домены с одной учетки – у них точно есть.

Все мы привыкли к тому, что злодеи плюс-минус концентрируются на чем-то одном, но тут совсем другая история. Только посмотрите на 1811 доменов в зонах .RU и .SU, которые принадлежат этим ребятам: https://controlc.com/8b8abf73a.

Примерно 15 процентов зарегистрированных ими доменов однозначно связаны со скамом торговых площадок, в первую очередь со схемами Авито 1.0 и 2.0. Однако мы видим, что на российских площадках участники группы не остановились и пошли осваивать западные рынки, в первую очередь испаноязычные, при чем речь скорее всего идет не столько об Испании, как о странах Латинской Америки.

Но и это далеко не все. Помимо скама на торговых площадках эти люди насоздавали сотни других сайтов. В их числе:
Фейковые торрент-трекеры;
Сайты по «взлому» мессенджеров;
Фейковые сайты по продаже баз данных и кардерские форумы;
Фишинг под Outlook и другие корпоративные сервисы;
Фейковый сайт зарубежного оператора IP-телевидения;
Сайты, предлагающие абузоустойчивый хостинг;
Фишинг под Discord;
Фейковый сайт с ковидными QR-кодами для жителей Австралии (!);
Куча сайтов по продаже контрафактных часов и кроссовок;
Фейковый VPN-сервис;
И почему-то фейковый сайт по продаже пластиковых окон в Белоруссии…

Еще в их коллекции имеются домены, созвучные с ФСБ и один домен, указывающий на явное негативное отношение к российскому Президенту. Одно хорошо, так как ребятам лень зарегистрировать новую учетку, все их новые проекты максимально легко отслеживать и блокировать. Даже возмущаться на тему того, что регистратор доменов годами получает сотни тысяч рублей от явного криминала однозначно не стоит. Чуваки, вы все делаете правильно! Даешь 10 тысяч вредоносных доменов на одной учетке и оплаченных одной картой – для полиции меньше работы по сбору доказательств.

А вот другая группа демонстрирует иной подход. Ребята начинали с фейковых сайтов «Столото», а потом открыли для себя схему с пиццей и суши от имени банков. Перепробовав пару банков, они почему-то остановились на «Уральском банке реконструкции и развития» и с тех пор зарегистрировали две сотни доменов, посвященных этой тематике, продолжая регистрировать их почти ежедневно: https://pastebin.com/YufEtRBm и лишь периодически разбавляя их скамом с фейковыми выплатами гражданам Узбекистана (https://uz-prezident.ru). Однажды мы уже писали о них, но с того времени эти упорные ребята добавили в копилку еще 120 новых доменов под УБРиР. Такая приверженность бренду встречается нечасто.

Предлагаем вам на досуге покопаться в доменах киберзлодеев и поделиться в комментариях интересными находками.
@In2security

В начале мая СДЭК открыл новый сервис по заказу товаров из-за границы CDEK.Shopping
И вот сегодня уже появилась база на 19.800 строк персональных данных пользователей сервиса с актуальностью 15 августа 2022.
Подтвердить или опровергнуть не имеем возможности, просто ... берегите себя и свои данные.

Добрались и до Россети-Юг, обеспечивает электричеством Астраханскую, Волгоградскую, Ростовскую область и Республику Калмыкия.
Формат файла : резервная копия FDB (база данных Firebird)
Количество записей о пользователях/клиентах : 101 000+
Подробная информация включает : имена/адреса электронной почты/телефоны/данные личного кабинета/внутренние заметки/детали доступа для 101 000+ клиентов.