для хищения денег у граждан

Выявленные фишинговые атаки стали продолжением вредоносной кампании, всплески которой наблюдаются ка-ждые в 4-6 месяцев, отмечают специалисты команды специальных сервисов Solar JSOC компании "РТК-Солар". Благодаря взаимодействию с регистраторами доменов и регуляторами удалось вовремя пресечь фишинговую ак-тивность, а оперативная коммуникация с банком, подключившим интернет-эквайринг, помогла в несколько раз со-кратить ущерб для пользователей.

Текущая атака продемонстрировала способность мошеннических схем к развитию. Как и прежде, злоумышленники использовали человеческий фактор: для получения "приза" жертве предлагалось самостоятельно переслать ссыл-ку на вредоносный сайт 10-20 своим друзьям в мессенджере. Такой подход значительно повысил эффективность работы мошенников: ссылка от друга вызывает куда большее доверие, чем обезличенная почтовая рассылка.

Остальные же элементы атаки были тщательно переработаны. Так, для распространения информации об "акции" использовались не только мессенджеры, но и специально созданные группы в социальных сетях. Именно они запус-тили самораспространяемую цепочку рассылок о несуществующих призах.

С учетом опыта предыдущих атак злоумышленники предприняли все необходимые меры, чтобы фейковые ресур-сы работали как можно дольше, а их обнаружение и блокировка были затруднены. Если раньше рассылаемые со-общения как правило содержали ссылку на статический сайт, то теперь она вела на один из тысяч доменов, который переадресовывал жертву на вредоносный ресурс через постоянно меняющуюся цепочку промежуточных сайтов.

"Вредоносные домены не имели привязки к бренду – это набор из сгенерированной последовательности сим-волов в экзотических доменных зонах .ml, .tk, .cf, .ga и .gq. Регистрация там бесплатна и может быть осущест-влена через API, то есть автоматически. В свободном доступе легко найти скрипты, позволяющие пачками регистрировать такие доменные имена, – отметил Александр Вураско, эксперт направления специальных сервисов Solar JSOC компании "РТК-Солар". – Но самое интересное в новом витке схемы – это непосредст-венно процесс хищения денег. Вводя данные карты, жертва оформляла подписку, в рамках которой каждые 5 дней с нее списывали 889 рублей. Деньги поступали на счет реально существующего юрлица в банке из ТОП-20. Такие платежи антифрод-системы банка в большинстве случаев не замечают, а малая сумма с лихвой компен-сировалась большим количеством “подписчиков”".

Для вывода денег злоумышленники в один день зарегистрировали более двух десятков доменов, на которых раз-местили однотипные сайты, посвященные онлайн-тренировкам для "сжигания жира". Именно на этот курс незамет-но для себя подписывались жертвы атаки, оставлявшие данные своих банковских карт. При этом фейковые фитнес-сайты были максимально нефункциональными: большинство опций не работало, подробные сведения об оформ-ляемой подписке отсутствовали, а публичная оферта, хоть и имела сведения о юрлице, по факту являлась юриди-чески ничтожной. Все это лишний раз доказывает, что данные сайты использовались исключительно как часть мо-шеннической схемы с напитками и пиццей.

На сегодня пик атаки прошел. Вредоносные сайты заблокированы, массовые рассылки в мессенджерах и соци-альных сетях не фиксируются.

(На правах рекламы)