Киберпреступники наживаются на Королевской свадьбе и Чемпионате мира по хоккею в Словакии

Киберпреступники наживаются на Королевской свадьбе и Чемпионате мира по хоккею в Словакии

Компания ESET, сообщает о том, что киберпреступники активно используют свадьбу британского принца Уильяма Уэльского и предстоящий Чемпионат мира по хоккею в Словакии для распространения вредоносного программного обеспечения.  Злоумышленники часто используют громкие информационные поводы для повышения эффективности распространения злонамеренных программ и увеличения своей прибыли. Так, Королевская свадьба вызвала повышенный интерес у граждан всего мира, что подтверждает высокий рейтинг в поисковиках таких слов как «свадьба принца», «Уильям», «Миддлтон» и другие. Ажиотаж в сети вокруг светского мероприятия мошенники использовали в своих корыстных целях.



Специалисты лаборатории ESET зарегистрировали ложные веб-страницы на разных языках, оформленные под новостные сайты, которые распространяют фальшивые антивирусы - Win32/Adware.XPAntiSpyware.AB, по классификации ESET. При этом, используя методы «черной» SEO-оптимизации для своих ресурсов, киберпреступники добились топовых позиций этих вредоносных сайтов в результатах поиска, тем самым привлекли большую аудиторию. При переходе на такой вредоносный сайт, пользователь, как правило, наблюдает всплывающие окна, содержащие предупреждения о том, что его ПК заражен. Впоследствии ему предлагается скачать фальшивый антивирус, содержащий опасный функционал.

Кроме того, за последний месяц увеличились случаи мошенничества при продаже билетов через сеть Интернет на Чемпионат мира по хоккею, который пройдет в Словакии. По мере приближения чемпионата болельщики хоккея все чаще рискуют финансами, воспользовавшись услугами сомнительных сайтов ради моментального приобретения билетов. В результате, они не только не получают билетов, но и их финансовые данные попадают в базы злоумышленников.

«Использование громких информационных поводов для распространения вредоносных программ – метод далеко не новый, но по-прежнему эффективный, Причем, чаще всего, таким образом распространяются именно фальшивые антивирусы, – комментирует Александр Матросов, директор Центра вирусных исследований и аналитики компании ESET. – Киберпреступники идут на различные ухищрения, чтобы запугать пользователя и спровоцировать установку вредоносной программы. Цели у злоумышленников, как правило, многогранны: это и получение денег за «спасение» компьютера от мнимого злонамеренного ПО, и хищение персональных данных пользователя».

Компания ESET рекомендует приобретать билеты на мероприятия в сети только через официальные и зарегистрированные ресурсы. Если говорить о фальшивых антивирусах, то необходимо использовать только лицензионные антивирусные решения с актуальными обновлениями баз данных сигнатур.

APT28 атаковала UKR[.]NET: фишинг, PDF и прокси ngrok

Кибергруппировка BlueDelta почти год вела масштабную кампанию по краже учётных данных пользователей UKR[.]NET — одного из самых популярных почтовых и новостных сервисов Украины. Атаки продолжались с июня 2024 года по апрель 2025-го и, по оценке аналитиков, стали заметным усилением разведывательной активности.

Об этом говорится в новом исследовании Insikt Group (Recorded Future). BlueDelta — она же APT28, Fancy Bear и Forest Blizzard — давно специализируется на фишинге и краже учётных данных.

Но после того как в начале 2024 года западные правоохранительные органы «прикрыли» часть её инфраструктуры, группа заметно прокачала свои методы.

Вместо скомпрометированных роутеров злоумышленники перешли на прокси-туннелирование через легальные сервисы — такие как ngrok и Serveo. Это позволило скрывать реальные серверы и продолжать операции практически без пауз.

По данным исследователей, BlueDelta развернула более 42 цепочек для сбора учётных данных, используя бесплатные веб-сервисы и хостинги. В ход шли:

  • поддельные страницы входа UKR[.]NET, размещённые через Mocky API;
  • бесплатные хостинг-провайдеры (DNS EXIT, Byet Internet Services);
  • обратные прокси и короткие ссылки для маскировки инфраструктуры.

Фальшивые страницы выглядели как настоящая форма входа UKR[.]NET и собирали:

  • логины и пароли;
  • коды двухфакторной аутентификации;
  • IP-адреса жертв.

 

Для этого использовался кастомный JavaScript, в том числе с передачей данных через HTTPBin. Отдельного внимания заслуживает приём с PDF-файлами, замаскированными под уведомления о подозрительной активности в аккаунте. Внутри — ссылка «для смены пароля», ведущая на фишинговую страницу.

Такой формат позволял: обходить почтовые фильтры, не попадать под песочницы и выглядеть максимально правдоподобно для пользователя. Это явно говорит о хорошем понимании корпоративных средств защиты.

 

Весной 2025 года аналитики заметили очередное обновление схемы атак:

  • переход с DNS EXIT на бесплатные поддомены ngrok;
  • появление серверов во Франции и Канаде для передачи данных;
  • использование тайпсквот-доменов вроде ukrinet[.]com и ukrainnet[.]com — на случай блокировок.

Интересная деталь: в код добавили заголовок ngrok-skip-browser-warning, который отключает предупреждения ngrok и делает прокси практически незаметным для пользователя.

Фокус на пользователях UKR[.]NET полностью укладывается в разведывательные задачи ГРУ. Кража учётных данных остаётся дешёвым и эффективным способом получить первичный доступ — а дальше возможны многоэтапные шпионские операции.

Исследователи считают, что BlueDelta продолжит такие кампании как минимум до 2026 года, делая ставку на анонимную, дешёвую и распределённую инфраструктуру.

RSS: Новости на портале Anti-Malware.ru