Охотники за 2FA-кодами Госуслуг и банков начали звонить от имени Мосэнерго

Охотники за 2FA-кодами Госуслуг и банков начали звонить от имени Мосэнерго

Охотники за 2FA-кодами Госуслуг и банков начали звонить от имени Мосэнерго

Российская правоохрана фиксирует рост числа жалоб на мошеннические звонки от имени «Мосэнерго» и «Мосэнергосбыта». В ходе беседы имитаторы выманивают одноразовый СМС-код для получения доступа к аккаунту Госуслуг или банковскому счету жертвы.

Особенно много жалоб на фейковых поставщиков коммунальных услуг было подано в прошлом месяце. Возбуждены десятки уголовных дел, потери пострадавших (в основном пенсионеры из Московского региона) измеряются сотнями тысяч и даже миллионами рублей.

Обманщики могут звонить под предлогом поверки электросчетчиков, перерасчета платежей, предоставления скидки на ЖКУ жителям почтенного возраста. Собеседнику могут предложить зайти на портал «Госуслуги» для проверки информации или запросить данные банковской карты, номер паспорта, СНИЛС, ИНН.

Развитие сценария зависит от выбранной темы и реакции намеченной жертвы. Если она не желает выдать полученный код аутентификации (2FA), злоумышленники будут бомбардировать ее звонками с разных номеров и от имени разных ведомств, стараясь добиться искомого результата.

Абонента могут запугивать несанкционированным доступом к аккаунту Госуслуг. Если речь идет об оплате электроэнергии или неких бонусах юбиляру, может последовать звонок «сотрудника Росфинмониторинга» по поводу якобы оформленной заявки на получение кредита или на перевод денежных средств за рубеж — террористам.

Злоумышленники также могут предложить перенести сбережения на «безопасный счет» и даже услужливо прислать курьера. Встревоженный пенсионер, которого некому отговорить, с благодарностью последует инструкциям мошенников: наберет кредитов, продаст машину, снимет все деньги и отдаст или переведет их незнакомцу.

В ответ на запрос «Известий» о комментарии в ПАО «Мосэнерго» заявили, что они являются генерирующей компанией и не работают с гражданами напрямую, а потому при звонке от их имени следует сразу прекратить разговор и обратиться в правоохранительные органы.

Имя «Мосэнергосбыта», а также «Мосгаза» ранее уже использовалось в мошеннических схемах. Москвичи и жители Подмосковья привыкли пользоваться услугами этих поставщиков, и потому звонки имитаторов вряд ли вызовут подозрение.

Троян Astaroth угоняет WhatsApp Web и рассылает себя контактам жертвы

Операторы банковского трояна Astaroth научили заражённые компьютеры самостоятельно рассылать вредоносные архивы через WhatsApp Web (принадлежит корпорации Meta, признанной экстремистской и запрещённой в России). Теперь жертва не только рискует банковскими данными, но и невольно подбрасывает троян своим контактам, выяснили специалисты CrowdStrike.

Раньше Astaroth, также известный как Guildma, в основном распространялся через фишинговые письма. В конце 2025 года преступники прикрутили к нему отдельный спам-бот для WhatsApp.

Модуль копирует профиль Chrome или Edge, загружает официальный WebDriver и запускает браузер в фоновом режиме. Затем он подключается к уже авторизованной сессии WhatsApp Web при помощи легитимной библиотеки WPPConnect/WA-JS. Для пользователя всё выглядит тихо, а за кулисами начинается обход адресной книги.

 

Каждому контакту бот отправляет три сообщения: приветствие с учётом времени суток, ZIP-архив с загрузчиком Astaroth и заключительный текст. Ссылки и формулировки выбираются случайно, чтобы рассылка не выглядела клонированной и хуже ловилась защитными системами.

В итоге вредонос приходит не от подозрительного незнакомца, а от знакомого человека. Расчёт простой: сообщениям из собственной адресной книги доверяют охотнее, особенно если они написаны естественно и начинаются с уместного «доброе утро».

Код спам-бота похож на инструменты других латиноамериканских группировок, включая Vareg. Совпадения в настройках, функциях и логике фильтрации указывают на общего разработчика или активный обмен наработками внутри местного киберпреступного рынка.

Признаками заражения могут быть загрузка WebDriver через PowerShell, папки ChromeAuto_ в C:\Users\Public\Temp, запуск Chromium в безголовом режиме и обращения к компонентам WPPConnect. Astaroth фактически заставил WhatsApp работать курьером для банковского трояна, причём посылку оплачивает сама жертва.

RSS: Новости на портале Anti-Malware.ru