Фишеры используют API Telegram для сбора учётных данных жертв

Фишеры используют API Telegram для сбора учётных данных жертв

Фишеры используют API Telegram для сбора учётных данных жертв

Недавно обнаруженная фишинговая кампания отметилась интересным подходом к краже учётных данных жертвы: злоумышленники используют API популярного мессенджера Telegram для создания вредоносных доменов. Последние помогают преступникам обойти защитные механизмы вроде антиспам-шлюза (secure email gateway, SEG).

По словам специалистов компании Cofense, обратившим внимание на активность киберпреступников, данная фишинговая кампания стартовала в середине декабря 2020 года. Основными целями атакующих были компании финансового сектора Великобритании.

Вся схема фишеров строилась на API, которые предлагает сервис для обмена сообщениями Telegram. Как известно, эти API позволяют пользователям создавать веб-элементы, задействующие функции Telegram для интерфейса. Однако злоумышленники ловко приспособились и начали использовать API для создания фишинговых доменов.

«Конкретно в этой кампании киберпреступники взламывали почтовые ящики с тем расчётом, чтобы они выглядели для пользователей легитимными. Затем атакующие использовали домен для перенаправления жертвы на вредоносный сайт», — объясняет Джейк Лонгден из Cofense.

Таким образом, ничего не подозревающие сотрудники получали фишинговые письма, которые приходили якобы от источника внутри корпорации (например, с адреса вроде support@internal.com). Однако на деле источник находился за пределами атакуемой организации.

В Cofense также отметили, что фишеры пытались привлечь внимание жертв яркими заголовками писем, в которых отмечалось, что дело срочное. Все эти уловки были рассчитаны лишь на одно — заставить сотрудника открыть и прочитать письмо.

Доверчивые служащие кликали на ссылки в таких сообщениях, после чего благополучно попадали на вредоносный домен, созданный с помощью API Telegram и замаскированный под легитимную страницу входа. Само собой, все введённые на такой странице учётные данные отправляются в руки злоумышленников.

Предполагаемый ботовод IcedID инсценировал свою смерть — не помогло

Украинец, разыскиваемый ФБР по делу о распространении трояна IcedID, попытался избежать экстрадиции в США, подкупив полицейских, чтобы те помогли ему попасть в списки умерших. Трюк сработал, но ненадолго.

Как пишет Cybernews со ссылкой на украинский Реестр исполнительных производств, хитрец допустил ошибку: после регистрации смерти киевским ЗАГС (по подложным документам) он остался в Ужгороде, по месту постоянной прописки, и в итоге был пойман.

Как выяснилось, оборотням в погонах удалось выдать за благодетеля безвестный труп, подменив идентификационные данные. Перед этим заказчик предусмотрительно переписал все свое имущество на родственников и знакомых.

Его опасения были не напрасны: через месяц стало известно об успехе Operation Endgame, очередного международного похода против ботнетов, созданных на основе особо агрессивных зловредов, в том числе банковского трояна IcedID.

Поиск подозреваемого после его мнимой смерти был прекращен, однако украинец в итоге чем-то привлек внимание правоохраны. Дело было вновь открыто, к повторному изучению свидетельств, раздобытых Интерполом и ФБР, были привлечены сторонние криминалисты и аналитики, и в итоге следствие пришло к выводу, что фигурант жив.

Триумфальное задержание произошло в конце 2025 года, однако обманщик даже тогда попытался выдать себя за другое лицо, предъявив фальшивые документы.

На его дом, автомобили и парковки наложен арест. Ввиду вероятности побега подозреваемого суд определил размер залога как $9,3 миллиона.

RSS: Новости на портале Anti-Malware.ru