Киберсквоттеры не дремлют
Едва успела вчера компания МТС сообщить о создании новой дочерней компании в сфере ИБ – Serenity Cyber Security, как сразу же кто-то зарегистрировал 4 домена:
serenitycs.ru
serenitycyber.ru
serenitycybersec.ru
serenitycybersecurity.ru
Понятное дело, что сама компания МТС не стала бы выбирать для себя домены в день выпуска пресс релиза, да и зарегистрированы они на физическое лицо, которому заодно принадлежит несколько сотен других доменов подозрительно созвучных с различными брендами.
Интересно, какая судьба ожидает эти домены. В лучшем случае их попытаются продать МТС, ну а в худшем – продать тем, кто решит применить их в целях фишинга от лица новой ИБ-компании. Так что оставлять жизнь этих доменных имен без внимания явно не стоит.
@In2security
Едва успела вчера компания МТС сообщить о создании новой дочерней компании в сфере ИБ – Serenity Cyber Security, как сразу же кто-то зарегистрировал 4 домена:
serenitycs.ru
serenitycyber.ru
serenitycybersec.ru
serenitycybersecurity.ru
Понятное дело, что сама компания МТС не стала бы выбирать для себя домены в день выпуска пресс релиза, да и зарегистрированы они на физическое лицо, которому заодно принадлежит несколько сотен других доменов подозрительно созвучных с различными брендами.
Интересно, какая судьба ожидает эти домены. В лучшем случае их попытаются продать МТС, ну а в худшем – продать тем, кто решит применить их в целях фишинга от лица новой ИБ-компании. Так что оставлять жизнь этих доменных имен без внимания явно не стоит.
@In2security
👍23🔥6👎1
Помните июльскую историю про скам под Tele2? Тогда предлагалось закинуть деньги на счет и получить в 2 раза больше. История продолжилась, но уже с Мегафоном.
Сайты-близнецы megafon-x2.ru и msk-megafon.ru предлагают такие же бонусы – просто введите номер телефона и данные банковской карты. Ну а фраза «В акции принимают участие абоненты МегаФон, которым было адресовано соответствующее уведомление об акции» недвусмысленно сообщает о том, что ссылки на скам-сайты распространяются через рассылки.
Платежная форма располагается на стороннем домене - megafon-topup.com, при этом ссылка «Вернуться» подсвечивает нам еще один вредоносный сайт: mobilework.store, как две капли воды похожий на два предыдущих.
Мы проанализировали платежную форму и выяснили, что обработка платежей осуществляется через один из крупнейших российских банков. Естественно, мы передали всю информацию в службу безопасности этого банка, так что денежный ручеек с фейковых ресурсов скоро иссякнет.
@In2security
Сайты-близнецы megafon-x2.ru и msk-megafon.ru предлагают такие же бонусы – просто введите номер телефона и данные банковской карты. Ну а фраза «В акции принимают участие абоненты МегаФон, которым было адресовано соответствующее уведомление об акции» недвусмысленно сообщает о том, что ссылки на скам-сайты распространяются через рассылки.
Платежная форма располагается на стороннем домене - megafon-topup.com, при этом ссылка «Вернуться» подсвечивает нам еще один вредоносный сайт: mobilework.store, как две капли воды похожий на два предыдущих.
Мы проанализировали платежную форму и выяснили, что обработка платежей осуществляется через один из крупнейших российских банков. Естественно, мы передали всю информацию в службу безопасности этого банка, так что денежный ручеек с фейковых ресурсов скоро иссякнет.
@In2security
👍30
И снова ваша любимая рубрика «ленивый фишинг». Сегодня рассматриваем совсем свежий сайт https://biletoplata.ru. И это хорошая заявка на первое место в нашем рейтинге. Жертве предлагается самостоятельно ввести название мероприятия и сумму для оплаты. Что ж, попробуем купить билеты на Цирк с конями рублей за 100.
Оплата проводится через сервис https://www.payanyway.ru, при этом в коде страницы прекрасно виден идентификатор подключенного к платежному сервису «магазина»: 13723732 (думаем, эта информация пригодится безопасникам Payanyway).
Естественно, такой сайт не может существовать сам по себе. Вероятнее всего он является звеном в цепочке очередного dating-scam проекта и работает в связке с другими ресурсами и социальной инженерией. Вот только интересно, какую легенду придумывают для того, чтобы уговорить человека самого ввести сумму и название мероприятия? Делитесь своими версиями в комментариях.
@In2security
Оплата проводится через сервис https://www.payanyway.ru, при этом в коде страницы прекрасно виден идентификатор подключенного к платежному сервису «магазина»: 13723732 (думаем, эта информация пригодится безопасникам Payanyway).
Естественно, такой сайт не может существовать сам по себе. Вероятнее всего он является звеном в цепочке очередного dating-scam проекта и работает в связке с другими ресурсами и социальной инженерией. Вот только интересно, какую легенду придумывают для того, чтобы уговорить человека самого ввести сумму и название мероприятия? Делитесь своими версиями в комментариях.
@In2security
👍16
Говорят, талантливый человек талантлив во всем. Давайте проверим это утверждение на примере очередной киберпреступной группы, благо как минимум один «талант» - регистрировать все домены с одной учетки – у них точно есть.
Все мы привыкли к тому, что злодеи плюс-минус концентрируются на чем-то одном, но тут совсем другая история. Только посмотрите на 1811 доменов в зонах .RU и .SU, которые принадлежат этим ребятам: https://controlc.com/8b8abf73a.
Примерно 15 процентов зарегистрированных ими доменов однозначно связаны со скамом торговых площадок, в первую очередь со схемами Авито 1.0 и 2.0. Однако мы видим, что на российских площадках участники группы не остановились и пошли осваивать западные рынки, в первую очередь испаноязычные, при чем речь скорее всего идет не столько об Испании, как о странах Латинской Америки.
Но и это далеко не все. Помимо скама на торговых площадках эти люди насоздавали сотни других сайтов. В их числе:
Фейковые торрент-трекеры;
Сайты по «взлому» мессенджеров;
Фейковые сайты по продаже баз данных и кардерские форумы;
Фишинг под Outlook и другие корпоративные сервисы;
Фейковый сайт зарубежного оператора IP-телевидения;
Сайты, предлагающие абузоустойчивый хостинг;
Фишинг под Discord;
Фейковый сайт с ковидными QR-кодами для жителей Австралии (!);
Куча сайтов по продаже контрафактных часов и кроссовок;
Фейковый VPN-сервис;
И почему-то фейковый сайт по продаже пластиковых окон в Белоруссии…
Еще в их коллекции имеются домены, созвучные с ФСБ и один домен, указывающий на явное негативное отношение к российскому Президенту. Одно хорошо, так как ребятам лень зарегистрировать новую учетку, все их новые проекты максимально легко отслеживать и блокировать. Даже возмущаться на тему того, что регистратор доменов годами получает сотни тысяч рублей от явного криминала однозначно не стоит. Чуваки, вы все делаете правильно! Даешь 10 тысяч вредоносных доменов на одной учетке и оплаченных одной картой – для полиции меньше работы по сбору доказательств.
А вот другая группа демонстрирует иной подход. Ребята начинали с фейковых сайтов «Столото», а потом открыли для себя схему с пиццей и суши от имени банков. Перепробовав пару банков, они почему-то остановились на «Уральском банке реконструкции и развития» и с тех пор зарегистрировали две сотни доменов, посвященных этой тематике, продолжая регистрировать их почти ежедневно: https://pastebin.com/YufEtRBm и лишь периодически разбавляя их скамом с фейковыми выплатами гражданам Узбекистана (https://uz-prezident.ru). Однажды мы уже писали о них, но с того времени эти упорные ребята добавили в копилку еще 120 новых доменов под УБРиР. Такая приверженность бренду встречается нечасто.
Предлагаем вам на досуге покопаться в доменах киберзлодеев и поделиться в комментариях интересными находками.
@In2security
Все мы привыкли к тому, что злодеи плюс-минус концентрируются на чем-то одном, но тут совсем другая история. Только посмотрите на 1811 доменов в зонах .RU и .SU, которые принадлежат этим ребятам: https://controlc.com/8b8abf73a.
Примерно 15 процентов зарегистрированных ими доменов однозначно связаны со скамом торговых площадок, в первую очередь со схемами Авито 1.0 и 2.0. Однако мы видим, что на российских площадках участники группы не остановились и пошли осваивать западные рынки, в первую очередь испаноязычные, при чем речь скорее всего идет не столько об Испании, как о странах Латинской Америки.
Но и это далеко не все. Помимо скама на торговых площадках эти люди насоздавали сотни других сайтов. В их числе:
Фейковые торрент-трекеры;
Сайты по «взлому» мессенджеров;
Фейковые сайты по продаже баз данных и кардерские форумы;
Фишинг под Outlook и другие корпоративные сервисы;
Фейковый сайт зарубежного оператора IP-телевидения;
Сайты, предлагающие абузоустойчивый хостинг;
Фишинг под Discord;
Фейковый сайт с ковидными QR-кодами для жителей Австралии (!);
Куча сайтов по продаже контрафактных часов и кроссовок;
Фейковый VPN-сервис;
И почему-то фейковый сайт по продаже пластиковых окон в Белоруссии…
Еще в их коллекции имеются домены, созвучные с ФСБ и один домен, указывающий на явное негативное отношение к российскому Президенту. Одно хорошо, так как ребятам лень зарегистрировать новую учетку, все их новые проекты максимально легко отслеживать и блокировать. Даже возмущаться на тему того, что регистратор доменов годами получает сотни тысяч рублей от явного криминала однозначно не стоит. Чуваки, вы все делаете правильно! Даешь 10 тысяч вредоносных доменов на одной учетке и оплаченных одной картой – для полиции меньше работы по сбору доказательств.
А вот другая группа демонстрирует иной подход. Ребята начинали с фейковых сайтов «Столото», а потом открыли для себя схему с пиццей и суши от имени банков. Перепробовав пару банков, они почему-то остановились на «Уральском банке реконструкции и развития» и с тех пор зарегистрировали две сотни доменов, посвященных этой тематике, продолжая регистрировать их почти ежедневно: https://pastebin.com/YufEtRBm и лишь периодически разбавляя их скамом с фейковыми выплатами гражданам Узбекистана (https://uz-prezident.ru). Однажды мы уже писали о них, но с того времени эти упорные ребята добавили в копилку еще 120 новых доменов под УБРиР. Такая приверженность бренду встречается нечасто.
Предлагаем вам на досуге покопаться в доменах киберзлодеев и поделиться в комментариях интересными находками.
@In2security
Pastebin
ybrr.rudengi-gosuslugi.rui-mobile-ubrr.rusushi-ot-pochtabank.ruubrr-com. - Pastebin.com
Pastebin.com is the number one paste tool since 2002. Pastebin is a website where you can store text online for a set period of time.
😁21👍16🏆6🔥1
image_2022-08-29_00-15-03.png
962 KB
В начале мая СДЭК открыл новый сервис по заказу товаров из-за границы CDEK.Shopping
И вот сегодня уже появилась база на 19.800 строк персональных данных пользователей сервиса с актуальностью 15 августа 2022.
Подтвердить или опровергнуть не имеем возможности, просто ... берегите себя и свои данные.
И вот сегодня уже появилась база на 19.800 строк персональных данных пользователей сервиса с актуальностью 15 августа 2022.
Подтвердить или опровергнуть не имеем возможности, просто ... берегите себя и свои данные.
😁41🤬18👍5🤮5👎1
Добрались и до Россети-Юг, обеспечивает электричеством Астраханскую, Волгоградскую, Ростовскую область и Республику Калмыкия.
Формат файла : резервная копия FDB (база данных Firebird)
Количество записей о пользователях/клиентах : 101 000+
Подробная информация включает : имена/адреса электронной почты/телефоны/данные личного кабинета/внутренние заметки/детали доступа для 101 000+ клиентов.
Формат файла : резервная копия FDB (база данных Firebird)
Количество записей о пользователях/клиентах : 101 000+
Подробная информация включает : имена/адреса электронной почты/телефоны/данные личного кабинета/внутренние заметки/детали доступа для 101 000+ клиентов.
👍20🤬13😱4😁2
Также сегодня досталось DASREDA.RU (Деловая среда — дочерняя компания RU, принадлежащая СБЕРБАНК). Цель - помочь всем, кто хочет создать эффективный и успешный бизнес, но .... про ИБ видимо, забыли
👍11😁11🤬7❤1🔥1👏1😱1
Стабильность - это хорошо, но не в утечках. К сожалению снова тот же пользователь, снова дочка Сбера, снова сервера Exchange в лице СБЕРБАНК МЕГАМАРКЕТ РИТЕЙЛ (SMM Retail).
😁20🤯7👍2🤬2😱1
Сегодня всех затронула аномальная активность мошенников от имени СБ банков и МВД.
Молодые девушки перед началом учебного года очень упорно старались отработать скрипт, но частые технические проблемы мешали довести развод до конечной цели.
Но не менее интересна и активность известного вам Упорного мошенника, любителя УБРиР.
Теперь все его внимание переключилось на ... Узбекистан. Может это какой-то фетиш связанный с буквой У или на клавиатуре не хватает кнопок, но все равно будьте внимательны при переходе на такие сайты, материальную помощь и суши - не подвезут.
Молодые девушки перед началом учебного года очень упорно старались отработать скрипт, но частые технические проблемы мешали довести развод до конечной цели.
Но не менее интересна и активность известного вам Упорного мошенника, любителя УБРиР.
Теперь все его внимание переключилось на ... Узбекистан. Может это какой-то фетиш связанный с буквой У или на клавиатуре не хватает кнопок, но все равно будьте внимательны при переходе на такие сайты, материальную помощь и суши - не подвезут.
👍10😁5🤬4😱2🏆2🔥1🎉1
Tinder-мошенники под конец лета решили добавить выставки в схему покупки билетов для свиданий.
Придумывать новый лейдинг лень, поэтому просто поменяли текст в шаблоне drams-theatre.ru и получилось vinde-vistavka.ru, правда посетить фейковые выставки можно только в Волгограде. При это все делается настолько безграмотно, что только охваченный ... большим желанием жертва не может заметить грубые орфографические ошибки.
Придумывать новый лейдинг лень, поэтому просто поменяли текст в шаблоне drams-theatre.ru и получилось vinde-vistavka.ru, правда посетить фейковые выставки можно только в Волгограде. При это все делается настолько безграмотно, что только охваченный ... большим желанием жертва не может заметить грубые орфографические ошибки.
🤯6👍4😁4
Интересный целевой фишинг нашелся (уже заблочен). Не сгенерированная ссылка, а домен зарегистрировали под определенного человека.
Видимо телефонные мошенники от имени ВТБ не смогли донести до Камиллы необходимость перевода денег на "резервный счет", но так как она уже была на крючке - решили сделать под нее фишинг для получения доступа в личный кабинет, дальше уже сами "обеспечат безопасность финансовых активов".
Видимо телефонные мошенники от имени ВТБ не смогли донести до Камиллы необходимость перевода денег на "резервный счет", но так как она уже была на крючке - решили сделать под нее фишинг для получения доступа в личный кабинет, дальше уже сами "обеспечат безопасность финансовых активов".
🔥15😁11👍5🤯2🥰1
Что-то мы пишем и пишем про фишинговые сайты которые связаны с Tinder-мошенниками, давайте уже кого-нибудь поймаем. Сегодня разберем как найти мошенника недавно организовавшего небольшую сеть таких сайтов:
2022-07-31 cinemaromance.ru
2022-07-31 comediitheatr.ru
2022-07-31 russiastand-up.ru
2022-08-07 rus-exchanger.ru
2022-08-10 cryptoexc.ru
2022-08-16 spacechanger.ru
2022-08-19 romanticcinema.ru
2022-08-23 teatrcomedii.ru
2022-09-01 densesmoke.ru
2022-09-02 teatrcomediya.ru
2022-09-03 payment-operator.ru
Вся активность началась в июле 2022 года. Как все начинающие, он не определился с тематикой и начал вписываться во все популярные темы - фейковый криптообменник, билеты на стендап/театр/кинотеатр/кальянная.
Но как всегда подводят мелочи, на сайте https://comediitheatr.ru/oferta написано, что возврат денег возможно по законодательству Чешской республики... странно для театра в Астрахани...Поиск по уникальности текста вывел на сайт, который был нацелен на Беларуских любителей онлайн-знакомств и видимо это один из первых ресурсов фигуранта, так как по незнанию он указал свои контактные данные во WHOIS, думая что услуга Private person установлена по умолчанию. Поняв свою ошибку он удалил сайт, но Интернет помнит все. В публичных справочниках номер связан с "Владом". В утечках регистраций бота "Глаз Бога" этот номер фигурирует с тг-аккаунтом ID 981902838, ником Thesuspect18 (в настоящее время тоже удален). Но уникальность ника....это всегда ниточка, за которую стоит только потянуть...
Поиск по нику приводит нас к аккаунту "Влад Вербицький", Харьков. По имени и городу находим ВК - https://vk.com/id43892512. Там же в подтверждение фото с аватарки drive2.ru.
И паспорт, чтобы не мучались с установлением личности - он выложил заранее.
2022-07-31 cinemaromance.ru
2022-07-31 comediitheatr.ru
2022-07-31 russiastand-up.ru
2022-08-07 rus-exchanger.ru
2022-08-10 cryptoexc.ru
2022-08-16 spacechanger.ru
2022-08-19 romanticcinema.ru
2022-08-23 teatrcomedii.ru
2022-09-01 densesmoke.ru
2022-09-02 teatrcomediya.ru
2022-09-03 payment-operator.ru
Вся активность началась в июле 2022 года. Как все начинающие, он не определился с тематикой и начал вписываться во все популярные темы - фейковый криптообменник, билеты на стендап/театр/кинотеатр/кальянная.
Но как всегда подводят мелочи, на сайте https://comediitheatr.ru/oferta написано, что возврат денег возможно по законодательству Чешской республики... странно для театра в Астрахани...Поиск по уникальности текста вывел на сайт, который был нацелен на Беларуских любителей онлайн-знакомств и видимо это один из первых ресурсов фигуранта, так как по незнанию он указал свои контактные данные во WHOIS, думая что услуга Private person установлена по умолчанию. Поняв свою ошибку он удалил сайт, но Интернет помнит все. В публичных справочниках номер связан с "Владом". В утечках регистраций бота "Глаз Бога" этот номер фигурирует с тг-аккаунтом ID 981902838, ником Thesuspect18 (в настоящее время тоже удален). Но уникальность ника....это всегда ниточка, за которую стоит только потянуть...
Поиск по нику приводит нас к аккаунту "Влад Вербицький", Харьков. По имени и городу находим ВК - https://vk.com/id43892512. Там же в подтверждение фото с аватарки drive2.ru.
И паспорт, чтобы не мучались с установлением личности - он выложил заранее.
🔥29🤣14👍13😁5👏1