УБК МВД: 39% фишинговых сайтов маскируются под инвестплатформы

УБК МВД: 39% фишинговых сайтов маскируются под инвестплатформы

УБК МВД: 39% фишинговых сайтов маскируются под инвестплатформы

Управление по организации борьбы с противоправным использованием информационно-коммуникационных технологий МВД России (УБК МВД) проанализировало тематику фишинговых сайтов, которые были направлены на блокировку.

Краткий обзор выявленных ресурсов УБК МВД опубликовало в официальном телеграм-канале «Вестник киберполиции России». Наибольшее число таких сайтов (39%) связано с мошенническими схемами под видом инвестиций — в криптовалюту, акции или торговлю на Forex.

«Большинство потерпевших заходили на подобные ресурсы после общения с „рекламщиком“ на сайтах знакомств или в мессенджерах. Злоумышленник рассказывал о своих „успехах“ и предлагал поучаствовать в якобы прибыльной схеме», — предупреждает УБК МВД.

На втором месте (26%) — сайты, имитирующие интернет-магазины, маркетплейсы и известные бренды. Они собирают деньги за товары, которые в итоге не доставляются. Чаще всего пользователи попадаются на уловки, привлечённые обещанием скидок и низких цен.

Среди новых тенденций специалисты отмечают активизацию фишинга под видом продажи автозапчастей, а также использование имён реально существующих компаний, у которых нет собственного сайта. Весной и летом также увеличивается количество сайтов с сезонной продукцией — садовой и огородной тематикой.

На третьем месте (20%) — ресурсы с фейковыми услугами. Это, как правило, фиктивные онлайн-курсы или сайты с несуществующей психологической помощью. Такие страницы активно продвигаются через социальные сети и контекстную рекламу. Отдельно отмечено использование поддельных отзывов и комментариев.

Четвёртое место заняли сайты с интим-услугами (9%). Обычно они требуют предоплату, но всё чаще сами факты посещения подобных ресурсов используются для последующего шантажа.

Замыкают список сайты, продающие фальшивые билеты, справки и документы (6%). Сюда же отнесли поддельные версии Портала Госуслуг.

Чтобы не стать жертвой фишинга, УБК МВД рекомендует:

  • Не переходить по ссылкам из мессенджеров, SMS и писем без предварительной проверки;
  • Внимательно проверять адрес сайта — фишинговые страницы часто содержат ошибки в домене;
  • Осторожно относиться к сайтам в необычных доменных зонах;
  • Не доверять слишком выгодным предложениям;
  • Проверять «возраст» сайта через сервисы Whois — недавно зарегистрированные адреса часто используются для обмана.

Linux-ботнет SSHStalker старомоден: C2-коммуникации только по IRC

Специалисты по киберразведке из Flare обнаружили Linux-ботнет, операторы которого отдали предпочтение надежности, а не скрытности. Для наращивания потенциала SSHStalker использует шумные SSH-сканы и 15-летние уязвимости, для C2-связи — IRC.

Новобранец пока просто растет, либо проходит обкатку: боты подключаются к командному серверу и переходят в состояние простоя. Из возможностей монетизации выявлены сбор ключей AWS, сканирование сайтов, криптомайнинг и генерация DDoS-потока.

Первичный доступ к Linux-системам ботоводам обеспечивают автоматизированные SSH-сканы и брутфорс. С этой целью на хосты с открытым портом 22 устанавливается написанный на Go сканер, замаскированный под опенсорсную утилиту Nmap.

В ходе заражения также загружаются GCC для компиляции полезной нагрузки, IRC-боты с вшитыми адресами C2 и два архивных файла, GS и bootbou. Первый обеспечивает оркестрацию, второй — персистентность и непрерывность исполнения (создает cron-задачу на ежеминутный запуск основного процесса бота и перезапускает его в случае завершения).

Чтобы повысить привилегии на скомпрометированном хосте, используются эксплойты ядра, суммарно нацеленные на 16 уязвимостей времен Linux 2.6.x (2009-2010 годы).

 

Владельцы SSHStalker — предположительно выходцы из Румынии, на это указывает ряд найденных артефактов.

Исследователи также обнаружили файл со свежими результатами SSH-сканов (около 7 тыс. прогонов, все за прошлый месяц). Большинство из них ассоциируются с ресурсами Oracle Cloud в США, Евросоюзе и странах Азиатско-Тихоокеанского региона.

RSS: Новости на портале Anti-Malware.ru