True OSINT

В открытый доступ попали данные студентов и преподавателей Московского государственного технического университета имени Н.Э. Баумана. По утверждению хакеров, утечка включает около 2 000 файлов с внутренними документами университета, приказами и анкетами. Среди опубликованных данных — сведения более чем о 300 обучающихся одного из центров МГТУ, список более 6 000 студентов с указанием учебной группы и формы обучения по состоянию на 2023 год, а также данные преподавателей кафедр этого центра. Актуальность - 24.12.2024 Состав ▪️ФИО ▪️Дата рождения ▪️Фото паспорта ▪️Почта ▪️Телефон ▪️Адрес проживания #утечка #мгту

Простой фишинговый шаблон для распространения вредоносного ПО под видом сервиса бронирования заправки можно увидеть на домене BENZINRU.RU. На сайте с максимально примитивным дизайном пользователю предлагают оформить «бронь» на заправку: выбрать АЗС, время посещения, подтвердить запись и получить возможность без очереди заправить 20 литров бензина. Однако дальше начинается самое интересное. Под предлогом действующих ограничений (в этом же тексте злоумышленники уже упоминают лимит в 40 литров) пользователю предлагают скачать APK-файл, который на самом деле является вредоносным приложением для Android. Наличие вредоносной нагрузки подтверждается результатами проверки в VirusTotal. Таким образом, вместо обещанной заправки без очереди пользователь рискует заразить свое устройство трояном. Домен заблокируем. (Заблокирован за 2 часа 50 минут) #фишинг #впо #бензин #азс

Хоть какое-то разнообразие в шаблоны вносят некоторые скамонты. Правда, под какой именно мессенджер рассчитана эта схема, пока не совсем понятно — похоже, самих мошенников это тоже не слишком волнует. На домене RUGOLOS.CFD, что вполне соответствует уровню фантазии его создателей, пользователям предлагают получить доступ к некой «Публичной базе военнослужащих МО РФ». Само существование такой публичной базы уже звучит абсурдно. Для получения доступа необходимо пройти «авторизацию» по SMS, то есть фактически передать свой аккаунт мошенникам. В этот раз злоумышленники хотя бы попытались оформить страницу в военной стилистике. На этом, пожалуй, все достоинства данного фишингового шаблона заканчиваются. Домен заблокируем. (Заблокирован за 2 часа 56 минут) #фишинг

Скамонты продолжают охоту за аккаунтами детей, используя обещания бесплатной игровой валюты. Один из таких примеров можно увидеть на домене ROBLOXMAX.XYZ. С двухнедельным опозданием (а для подобных "разработчиков" это уже почти оперативность) они запустили шаблон фишинга под ROBLOX, предлагая получить 1000 Robux. На деле пользователю предлагают передать мошенникам данные своего аккаунта. Эта же группа продвигает еще один фишинговый шаблон на домене MAXOPROS.XYZ, где под видом бесплатного подключения некой подписки пытается получить данные пользователей. Но особенно показателен домен MAX-MAXX.XYZ. Похоже, к моменту его создания у авторов закончились не только идеи, но и силы: вместо объяснения, зачем требуется номер телефона, на странице размещена единственная буква — «F». Если посмотреть на эти три домена последовательно, можно буквально наблюдать деградацию качества: от относительно проработанного шаблона до откровенной халтуры. Домены заблокируем. #фишинг #max #скамонт #roblox

Мошенники из колл-центров, выдающие себя за сотрудников Росфинмониторинга, запустили очередной фейковый сервис для «подтверждения» сотрудников на домене FEDSFM-CONTROL.RU. На этот раз шаблон получился максимально простым, однако с описанием сервиса авторы явно перестарались. Например, на сайте утверждается, что «над ним только 1 человек». Маловероятно, что федеральная служба стала бы использовать подобные разговорные формулировки в официальном описании. Список сотрудников, используемый мошенниками, на этот раз спрятан заметно аккуратнее. Однако есть серьезные сомнения, что он чем-либо отличается от тех, которые уже встречались в предыдущих подобных сервисах. Домен заблокируем. #фишинг #росфинмониторинг

Разницу в подходах европейских и российских мошенников можно увидеть на доменах M-BLABLACAR.COM и BLABLACAR-OPLATA.ONLINE. Испанские мошенники делают ставку на массовые шаблоны, адаптируя страницу под предполагаемую локацию жертвы — с указанием муниципалитета отправления и конечной точки маршрута. Российские же используют более персонализированный подход: для каждой жертвы формируется уникальная ссылка, в которой уже указаны данные попутчика, а пользователю предлагают оплатить бронирование поездки. В обоих случаях конечная цель одна — убедить пользователя ввести данные банковской карты и передать их мошенникам. Однако персонализация российской схемы заметно повышает ее правдоподобность и может увеличить вероятность успешной атаки. Тем более удивительно, что подобные фишинговые ресурсы до сих пор остаются доступными и продолжают использоваться злоумышленниками. Домен заблокируем. #фишинг #balblacar

Тянем-потянем На доменах CARD-VTB.ONLINE и CARD-VTB.RU, судя по названию, ожидаешь увидеть Банк ВТБ. Даже favicon соответствует бренду. Но первая неожиданность — внутри оказывается Т-Банк со "SmartCaptcha". Суть капчи простая: нужно потянуть кнопочку вверх. Во время движения записываются: ▪️X и Y координаты курсора; ▪️время каждого перемещения; ▪️общая продолжительность; ▪️расстояние перемещения. Все это передается на сервер. В ответ скрипт должен отправить пользователя дальше или перенаправить в Google, если посчитает его ботом. Но сколько ни дергай — ничего не происходит. Будем ждать, когда скамонты починят механику и научатся все-таки различать бренды банков. Неизвестно, что произойдет быстрее, если вообще произойдет. #фишинг #втб #тбанк #smartcaptcha

В открытый доступ попала база данных сервиса Yell.ru — российского онлайн-каталога организаций с системой отзывов и рекомендаций. Пик популярности платформы пришелся на 2015–2017 годы. По утверждению лиц, распространяющих архив, база содержит около 2 млн записей и представляет собой результат парсинга сервиса, включающий отзывы пользователей. Актуальность - 27.03.2017 Состав ▪️Название компании ▪️Адрес ▪️Почта ▪️Телефон ▪️Отзыв #утечка #yellru

Целевой фишинг с попыткой внедрения вредоносного ПО можно увидеть на домене HELIXQR.RU. На сайте клиенту по имени Клим (наверное) предлагают ознакомиться с результатами некоего исследования после взятия образца четыре года назад. Для этого необходимо скачать PDF-файл, который мошенники, судя по всему, еще не успели разместить. Все это оформлено под шаблон бланка лабораторной службы «Хеликс», подлинность которого якобы подтверждена. Похоже, начинающие мошенники решили монетизировать данные утечки компании. Напомним, что утечка медицинской лаборатории HELIX произошла в 2023 году и содержала 7,3 млн записей, включая почти 1 млн email-адресов клиентов. Домен заблокируем. (Заблокирован за 2 часа 12 минут) #фишинг #впо #хеликс #helix

17:30 хотелось назвать пост, но... Интересная ситуация наблюдается с доменом MAX-LOGIN.*. С одной стороны, само название уже выглядит как типичный фишинговый триггер. Тем более, что сегодня на нем появилось наполнение в виде «бота регистрации отклонений» для сотрудников ООО «Фармамед», которое занимается производством лекарственных средств и недавно анонсировало препарат «Джент» для усиления потенции. На первый взгляд это может выглядеть как попытка мошенников заинтересоваться разработкой в личных или корпоративных целях и развернуть фишинговую схему. Однако ситуация оказалась более плачевной. При вводе любой почты вида @farmamedspb.ru пользователь фактически получает доступ к CRM компании, включая данные о внутренних процессах, результатах исследований, а также ФИО и должности сотрудников с корпоративной почтой ключевых лиц. Уведомление о проблеме было направлено еще утром, однако, судя по всему, реакции не последовало. В то же время это создает широкие возможности для злоупотреблений в рамках социальной инженерии мошенниками. Отдельно стоит отметить, что подобные инциденты могут быть индикатором недостаточной зрелости ИТ-сотрудников или подрядчиков и их контроля доступа, что в итоге повышает риск дальнейших атак на рядовых сотрудников через фишинг и подмену внутренних коммуникаций. Есть надежда, что пост будет служить предупреждением для персонала о возможной целевой атаке с использованием уже утекших и доступных данных. #фишинг #медицина #farmamedspb