Найдено 1300 доменов, распространяющих вредоносное ПО

Аналитики Центра кибербезопасности F.A.C.C.T. нашли сеть из 1300 доменов, распространяющих вредоносные программы под видом популярных утилит и активаторов.

Отметим, что недавно киберпреступники начали продвигать ссылки на вредоносные ресурсы через GitHub. Пользователи, пытавшиеся установить официально недоступный на территории России софт, загружали на свои устройства стилеры. Таким способом злоумышленники распространяли следующие программы: Vidar Stealer (похищает данные из браузеров и криптокошельков), Cryptobot (похищает данные, связанные с финансами), а также RedLine Stealer (ворует учетные данные, данные автозаполнения и кредитных карт).

Привлекло внимание аналитиков не только количество ресурсов, использующихся для загрузки вредоносного ПО под видом взломанного софта, но и способы продвижения этих сайтов. Оказалось, что злоумышленники создали целую сеть поддельных аккаунтов в различных социальных сетях, массово размещали сообщения и посты рекламного характера на площадках с видеоконтентом и образовательных порталах.

Ресурсы-приманки с вредоносными ссылками были созданы на основе нескольких типовых шаблонов. При анализе активных на момент исследования ресурсов было установлено, что они реализованы с помощью WordPress с использованием бесплатных тем и лишь на одном из таких сайтов был блог, созданный с помощью сервиса Blogger.

Примечательно, что чаще всего на сайте встречаются авторы с ником admin. В начале веб-страницы содержится краткое описание предлагаемого ПО, например различных пакетов Microsoft Office, решений компании Adobe, AutoCad, Nanocad, программ активации офисных приложений и операционных систем KMS. Также присутствует навигация по сайту с поиском, последними публикациями, выбором категорий и ссылками на социальные сети, такие как Facebook*, Twitter, LinkedIn и Pinterest.

В некоторых случаях злоумышленники, оставляя «рекламные» посты и комментарии на различных площадках, не использовали отдельные вредоносные ресурсы в цепочке, а сразу ввели по ссылке на загрузку вредоносного ПО, размещенного на файлообменниках. 

В то же время, по словам заместителя председателя правления Сбербанка Станислава Кузнецова, злоумышленники все чаще используют схему, при которой они убеждают жертву установить на свой смартфон приложение для бесконтактной оплаты и привязать к нему банковскую карту, принадлежащую самим мошенникам.

Далее аферисты сообщают жертве реквизиты этой карты и код подтверждения из СМС, после чего человек сам вводит их в приложение. Затем жертва перечисляет наличные средства (как свои, так и заемные) через банкомат на карту мошенников, привязанную к установленному на телефоне приложению.

* Instagram и Facebook принадлежат компании Meta, деятельность которой признана экстремисткой и запрещена на территории России