Киберпреступная группировка, которую отслеживают под именем Prolific Puma, предоставляла другим злоумышленникам сервис для сокращения ссылок. На протяжении четырёх лет Prolific Puma удавалось оставаться незамеченной.
По данным исследователей, менее чем за месяц кибергруппа зарегистрировала тысячи доменов, многие из которых были доменами верхнего уровня США (usTLD) и помогали реализовать фишинговые схемы, рассылать спам и распространять вредоносные программы.
Специалисты Infoblox впервые зафиксировали активность Prolific Puma около полугода назад. Сначала экспертам попались домены, сгенерированные при помощи RDGA (registered domain generation algorithm) и задействованные для сервиса сокращения URL.
Исследователи смогли отследить вредоносную сетевую активность, которая, как выяснилось, использовала usTLD. Из-за принципа работы сервисов сокращения ссылок Infoblox смогла отследить сами короткие URL, но не целевые веб-страницы.
«В конце концов нам удалось ухватиться за несколько коротких ссылок, которые выводили нас на конечные страницы. Это оказались фишинговые и скамерские сайты», — пишут специалисты.
Кстати, лишь ряд ссылок ввёл прямо на страницу, другие — осуществляли множество редиректов. Более того, в отдельных случаях через такой URL пользователь попадал на CAPTCHA.
Именно такой разброс подходов навёл исследователей на мысль о том, что сервис сокращения ссылок используют разные киберпреступники. С апреля 2022 года Prolific Puma удалось зарегистрировать около 75 тысяч уникальных доменов.
Как правило, эти домены — буквенно-цифровые и псевдослучайные, а также различаются по размеру:
Российские пользователи Telegram начали получать сообщения о «последней возможности» оплатить Premium-аккаунт. В уведомлениях предлагается оформить подписку сразу на один или два года. Сообщение появляется в системных оповещениях и содержит следующий текст: «Сегодня — последняя возможность оплатить Telegram Premium».
Также в уведомлении говорится, что уже в ближайшее время оформить такую подписку станет технически невозможно. При этом при оплате на два года обещают скидку в 57%. Однако бот, через которого предлагается провести оплату, указывает уже другую цифру — 40%.
По данным телеграм-канала «Код Дурова», эта рассылка носит тестовый характер. Возможны два объяснения: либо администрация мессенджера действительно готовится прекратить продажу Telegram Premium в России, либо речь идёт о подготовке к потенциальной полной блокировке Telegram в стране, слухи о которой ранее уже появлялись в СМИ.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
