Российская схема лжесвиданий вышла на мировой рынок

Российская схема лжесвиданий вышла на мировой рынок

Российская схема лжесвиданий вышла на мировой рынок

Популярный в России сценарий Fake Date масштабируется за пределы страны. Жертве предлагают оплатить поход в театр на фишинговом сайте. Активность мошенников за границей объясняется “непуганностью” западного рынка и наплывом российских мигрантов.

О том, что интернет-мошенники, завлекающие жертву на сайтах знакомств, начали выводить схему за границу, пишет сегодня “Ъ”. Теперь на Fake Date могут пригласить не только в России, но и в странах ЕС, СНГ, Турции, ОАЭ, США и Австралии.

За полгода 50% краж по схеме Fake Date произошли в Европе, 30% — в СНГ, на другие страны приходится 17%.

Аналитики компании Group-IB обнаружили, что мошеннические ресурсы адаптируются под местные языки, а некоторые англоязычные нацелены сразу на несколько локаций.

Схема работает так: мошенники создают профили на сайтах знакомств, выдавая себя за реальных людей. После недолгого общения жертву приглашают на свидание, отправляя ссылку на покупку билетов в кино или театр. Она ведет на фишинговый сайт.

На этом знакомство заканчивается, а пользователь теряет деньги и данные банковской карты.

Время жизни мошеннического аккаунта — не более 20 минут, уточняет гендиректор сети сайтов знакомств “Мамба” Андрей Бронецкий:

“Зная об этом, мошенник пытается увести собеседника в сторонний мессенджер”.

За сутки на “Мамбе” блокируют 1,5 тыс. анкет, а процент реальных киберпреступников на сайте довольно низкий, утверждает Бронецкий.

Причина выхода российских мошенников за рубеж — высокая конкуренция внутри страны, считают в Group-IB.

В России схема уже хорошо известна, а за границей пользователь еще доверчив.

По данным компании, за прошлый год выручка лишь одной группировки подобных мошенников превысила 18 млн руб.

Рост фишинговых сайтов в СНГ и ЕС может быть связан с возросшим уровнем релокаций россиян в страны этих регионов в последнее время, считает руководитель продукта R-Vision Петр Куценко.

“Учитывая, что в России схема показала эффективность, то мошенники начали применять этот способ обмана и к русскоязычным пользователям за рубежом”, — объясняет эксперт.

О Fake Date впервые заговорили в 2018 году. Чаще всего жертв “приглашали” на стендап-шоу комиков. Предполагали и возможную связь лжесвиданий с другим мошенническим сценарием — “Мамонт”.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Шифровальщик LockBit все еще жив и обрел загрузчик, позволяющий обойти EDR

Проведенный в Flashpoint анализ LockBit 5.0 подтвердил, что новая версия зловреда построена на базе v4.0. Шифровальщик также стал еще более скрытным из-за использования кастомного загрузчика и обрел деструктивные функции.

С выпуском LockBit 5.0 его развертывание стало осуществляться в два этапа: вначале загружается самостоятельный лоадер, обеспечивающий обход EDR, а затем — основной пейлоад, не утративший прежних функций.

Шифровальщик по-прежнему откатывает исполнение на машинах жителей стран СНГ, но стал обходить стороной также Филиппины. Записка с требованием выкупа (ReadMeForDecrypt.txt) содержит привычный текст, сохранилась даже опечатка в англоязычном слове «информация» — «inforTmation».

 

Для обхода EDR новый загрузчик LockBit использует технику process hollowing (для внедрения вредоноса в экземпляр defrag.exe), отвязку библиотек (повторно загружает с диска чистые NTDLL и Kernel32, перезаписывая в памяти хуки защитных решений), патчинг трассировки событий Windows, а также скрывает расширения файлов.

Изолированный от основного пейлоада зловред умеет распознавать вызовы API по хешам, перенаправлять поток исполнения на разрешенные вызовы API, динамически рассчитывать адреса перехода для обфускации потока управления.

Обновленный LockBit научился обрабатывать данные на локальных и сетевых дисках, в папках по выбору оператора, а также работать в многопоточном режиме с использованием XChaCha20.

Опциональные деструктивные функции позволяют зловреду шифровать файлы незаметно для жертвы — не меняя расширений и без вывода записки с требованием выкупа.

Результаты анализа показали, что грозный шифровальщик все еще актуален как угроза и даже продолжает развиваться — невзирая на попытки ликвидации инфраструктуры LockBit, взлом сайта RaaS (Ransomware-as-a-Service, вымогательский софт как услуга) и слив переписки в рамках LockBit-партнерки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru