Group-IB рассказала о новых видах мошенничества в интернете

Group-IB, международная компания, специализирующаяся на предотвращении кибератак и разработке продуктов для информационной безопасности, выявила новую мошенническую сеть, насчитывающую два десятка сайтов, маскирующихся под государственные онлайн-сервисы и промо-сайты популярных браузеров. Создатели фейковых ресурсов обещают посетителям вознаграждение, достигающее 200 тыс. руб. Для того, чтобы его «заработать» необходимо выполнить ряд условий, каждое из которых требует от посетителя денежного взноса: минимальная сумма — 350 руб, максимальная — 1,7 тыс. руб. «Работа» сети по выманиванию денег поставлена на поток: начиная с апреля 2018 г. с ее помощью мошенники зарабатывают на доверчивых гражданах из России, Украины, Белоруссии и Казахстана — всего за месяц фейковые ресурсы суммарно посетили порядка 300 тыс. человек. Мошенническая сеть была обнаружена после того, как 20 мая в Центр реагирования на киберинциденты CERT Group-IB поступила жалоба на ресурс browserupd[.]space. Посетителям обещали от $50 до $3 тыс. (от 3 тыс. до 200 тыс. руб.) за использование якобы «обновленных» версий браузеров Google Chrome, Safari, Opera и тд. Создатели ресурса объясняли «невиданную щедрость» маркетинговой акцией: для поощрения первых 10 тыс. пользователей, обновивших браузер, якобы было выделено $1,5 млн. Разумеется, никто никаких денег не получил. Как удалось установить специалистам Group-IB, мошенническая схема работала следующим образом. Злоумышленники не просто копировали бренд, логотипы и фирменные цвета браузеров, но и идентифицировали их, «подстраивая» предложение поучаствовать в промо-акции под конкретного пользователя. На сайте мошенников был установлен специальный скрипт, который проверял тип браузера пользователя и, исходя из полученной информации, автоматически подгружал нужный контент, а также генерировал персональное «свидетельство об обновлении браузера» с реальным IP-адресом пользователя, данными его операционной системы и, собственно, браузера. К примеру, если у пользователя был установлен Google Chrome, то весь контент был «заточен» именно под него. Так, в одном из сценариев, посетителю сайта сообщали, что после «автоматического обновления» Google Chrome до версии 66, выигрыш составил $2195 (около 135 тыс. руб.). Однако, для получения приза необходимо конвертировать доллары в рубли и оплатить «комиссию» — в данном случае она составила 162 рубля. Деньги предлагалось заплатить через платформу — e-pay, ранее неоднократно замеченную в сомнительных схемах. Анализируя информацию о ресурсе, специалисты Group-IB выяснили, что он был зарегистрирован 26 апреля 2018 г. и с ним связаны еще 9 идентичных сайтов (browserupd[.]space, successupdate[.]space, successbrowser[.]space и так далее). Но самое интересное оказалось в том, что параллельно «браузерной схеме» мошенники запустили ее вариацию, имитирующую работу государственных онлайн-сервисов. Одним из самых популярных, судя по посещаемости, ресурсов мошеннической сети стала фейковая интернет-платформа «Активный гражданин». Начиная с 11 апреля, злоумышленники создали шесть идентичных фальшивых сайтов программы «Развитие регионов», на которых посетителям обещали выплатить от 65 тыс. рублей за ответы на интерактивный опрос о необходимости реформирования ЖКХ, сферы образования и здравоохранения. Как и в истории с «браузерами», мошенническая схема была таргетирована под конкретного пользователя: программа по IP определяла местонахождение посетителя сайта, в зависимости от чего менялся контент и оформление ресурса. Например, для жителей российской столицы в шапке опроса упоминается Москва и Московская область, а для жителей Винницкой области сайт стилизован под цвета украинского флага. Даже ответив на вопросы, пользователи не могли получить свое вознаграждение из-за якобы неактивированного аккаунта: «Активация аккаунта и его разблокировка в системе «Активный гражданин» во время проведения опроса является платной и составляет 170 рублей». Чтобы запутать пользователей, мошенники ссылались на некий «Регламент проведения дистанционного опроса граждан» №203 о 17 января 2018 г. Оплату предлагали провести через несуществующий банк Евразийского экономического союза, но фактически деньги шли через ту же платформу e-pay, которая была задействована в схеме с браузерами. Оплатив активацию аккаунта, «активный гражданин» вновь не может получить свой выигрыш — мошенники раскручивали его на новые и новые расходы. Несмотря на незначительный срок работы новых сайтов — от месяца до двух — специалисты Group-IB отмечают масштаб, с которым действовали злоумышленники: у них были «заготовки» с стилистикой и контентом под различные регионы России, Украины, Белоруссии и Казахстана. Распространение ссылок на мошеннические сайты происходило через спам-рассылку и рекламу: в среднем каждый из сайтов ежемесячно посещали от 4,5 тыс. до 35 тыс. человек. Анализируя мошенническую активность, Ярослав Каргалев, заместитель руководителя CERT Group-IB, отметил: «Опасной тенденцией последних лет является постоянно растущий уровень подготовки мошеннических схем. Это касается как внешних характеристик – дизайна сайтов, оформления интерактивных элементов, таких как фальшивые форумы, окна опросов, так и технологической инфраструктуры: как только блокируется один ресурс, на его месте появляется новый, как только одна схема исчерпала себя и не приносит желаемого дохода – меняется "упаковка" и запускается новая "акция". Особенностью схемы с браузерами и госсайтами является качественная проработка всех звеньев цепи: от правдоподобного контента, целой сети взаимосвязанных мошеннических ресурсов до системы вывода денег. Это и позволило мошенникам за короткое время сгенерировать значительный охват, составляющий свыше 300 тыс. посетителей менее, чем за 2 месяца». Для того, чтобы не попасться на подобные мошеннические акции, в Group-IB предупреждают: если вам обещают крупный выигрыш при условии перевода небольшой суммы, не поддавайтесь на провокацию и не переводите деньги. Не оставляйте на подозрительных сайтах, предлагающих легкие способы обогащения, данные своих банковских карт, логины и пароли. Ссылка на источник