Ущерб от лжелотерей идет на сотни миллионов

Ущерб от лжелотерей идет на сотни миллионов

Эксперты компании F.A.C.C.T. провели расследование деятельности организаторов фейковых лотерей. Сотрудникам компании удалось внедриться в одно из сообществ организаторов таких мошенничеств для изучения его инфраструктуры.

Организаторы подобных афер эксплуатируют, с одной стороны, желание потенциальных жертв к быстрому обогащению, с другой — доверие к так называемым инфлюэнсерам, которые призывают принять участие в игре.

Как узнали «Известия», в случае с партнерской программой, которую изучали эксперты  F.A.C.C.T., в этих целях использовали Ольгу Бузову и Егора Крида. Некоторые партнерские программы задействуют для привлечения не медийных персон, а компании — в частности, маркетплейсы.

Ссылка, обычно размещенная в соцсети или мессенджере, вела на сайт, где предлагалось принять участие в розыгрыше и открыть коробки. Естественно, потенциальная жертва получала сообщение о выигрыше, пусть и не сразу.

После этого на связь выходил «оператор отдела выплат», который предлагал ввести реквизиты платежной карты. Некоторые партнерские программы предлагали использовать мобильные приложения, которые содержат троян.

Но при вводе карты сайт выдавал сообщения об ошибках. Нередко организаторы требовали провести несколько выплат, причем с каждым следующим шагом сумма увеличивалась. В итоге, по данным «Известий, жертвы могли перечислять организаторам «лотерей» до 60 тыс. руб.

По подсчетам экспертов F.A.C.C.T., только за счет таких выплат мошенники получили не менее 80 млн руб., без учета снятия денег со скомпрометированных карт. И это лишь одна из партнерских программ, всего же их как минимум 6.

Ресурсы, на которые заманивают своих жертв мошенники, находятся за рубежом. Однако многие участники партнерских программ работают в России. Как правило, они работают через цепочки подставных лиц, и выйти на организаторов удается не часто.

Тем не менее судебный эксперт Экспертной группы Veta Александр Терентьев отметил для «Известий», что прецеденты того, как организаторы таких афер привлекались к ответственности были. Им обычно вменяют статью 159.6 УК РФ «Мошенничество в сфере компьютерной информации», которая предусматривает ответственность до 10 лет лишения свободы.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Российскую энергетику атакует цепкий шпионский троян Unicorn

В начале текущего месяца защитные решения «Лаборатории Касперского» зафиксировали новые вредоносные рассылки, нацеленные на кражу данных у российских компаний. Анализ выявил неизвестного ранее трояна — шпионскую программу, нареченную Unicorn.

В отличие от собратьев данный зловред не удаляет себя после кражи, а продолжает жить в системе, воруя файлы по мере их появления или обновления — пока его не поймают за руку. Атакам подвергаются энергетические компании, заводы, разработчики и поставщики электронных компонентов.

Вредоносные письма содержат вложение или ссылку на RAR-файл на Яндекс.Диске. Архив содержит файл с двойным расширением .pdf.lnk — ярлык с командой на скачивание и запуск HTA, замаскированного под PDF.

 

При активации HTA выполняется скрипт VBS, который создает на диске update.vbs и upgrade.vbs и прописывает их на автозапуск. Вредонос также генерирует дополнительные ключи реестра (в HKCU\Software\ReaItek\Audio\) с зашифрованным VBS-кодом.

При запуске update.vbs создается папка %USERPROFILE%\AppData\Local\ReaItek, куда копируются файлы из домашнего каталога пользователя (txt, pdf, doc, docx, xls, xlsx, png, rtf, jpg, zip, rar весом менее 50 Мбайт, а также содержимое папки %USERPROFILE%\AppData\Roaming\Telegram Desktop\tdata).

Скрипт upgrade.vbs с помощью расшифрованного кода из реестра отправляет добычу на C2-сервер. Чтобы не повторяться, оба VBS создают себе памятку — ids.txt и oids.txt соответственно, куда записываются данные о скопированных / отправленных файлах, а также даты последних изменений этих объектов.

«Особенность этих атак заключается в том, что после кражи данных вредоносные скрипты остаются в системе, — подчеркнул эксперт Kaspersky Олег Купреев. — Вместо того чтобы один раз украсть данные и замести следы, вредоносное ПО продолжает передавать злоумышленникам новые или обновлённые файлы, пока его не обнаружат и не примут меры, что потенциально увеличивает масштаб возможных потерь».

Защитные решения ИБ-компании детектируют нового зловреда с вердиктом Trojan-Spy.VBS.Unicorn.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru