В Telegram «угоняют» аккаунты медиаменеджеров

Специалисты F.A.C.C.T. обнаружили новую волну угонов аккаунтов в Telegram, целью которых стали российские медиаменеджеры, маркетологи, журналисты, пиарщики. Так, было найдено 462 домена для кражи учетных записей.

Для кражи используются легенды о голосовании в различных конкурсах, которые вели на ресурсы с фишинговыми формами для авторизации. Так, потерпевшего добавляли в группу и просили проголосовать на конкурсе «The best product manager» или «Marketing and PR Specialist».

При этом название чата злоумышленники выбрали такое, которое сложно обнаружить сразу. Так, среди названий отметились «Всем привет», «Добрый день всем» и «Доброе утро!». 

В одном из случаев ссылка вела на домен (https://online-happy[.]ru), созданный буквально несколько дней назад, где надо было выбрать одного из двух кандидатов. Затем происходит редирект на другой ресурс, например, (allance-online24[.]ru), где участнику голосования предлагают авторизоваться в Telegram через QR-код или отправку кода не телефон. 

Таким образом атакующие и воруют или «угоняют» аккаунт. Мошенники сразу отвязывают его от текущего номера и жертва теряет доступ к своим перепискам в мессенджере, контактам и сохраненным сообщениям, фото и видео. 

После угона аккаунта предложение об участии в голосовании отправлялось уже по базе контактов. То есть каждая новая жертва уже сама становится распространителем мошеннических объявлений. 

Согласно данным F.A.C.C.T., начиная с декабря 2023 года, злоумышленники зарегистрировали 462 домена для голосования, из которых 85 — в феврале и 162 — в марте. 

Ранее команда отдела реагирования и цифровой криминалистики Angara SOC обнаружила новую группировку — M0r0k T34m (Morok Team) (Sunset Wolf) — кластер, активный как минимум с ноября 2023 года. Хакеры атакуют различные организации с целью распространениях программы-вымогателя и затем требуют выкуп за расшифровку.