Маскировать вирусы под антивирусы – история некогда весьма популярная, однако сейчас встречающаяся все реже. Поэтому обнаружив сайт security-kaspersky.ru, настойчиво предлагающий скачать файл с названием file.iso, мы не могли пройти мимо. Все-таки фишинг под сайт антивирусной компании, да еще и с вредоносным содержимым – это интересно.

Скачиваемый образ не детектится антивирусами. Чист он и по данным Virustotal.

Внутри он содержит 4 файла:
Документ Word «Приказ.doc» со статусом невидимого файла.
Ярлык с таким же именем, что и документ Word.
PowerShell скрипт
Популярный SSH-клиент PuTTY.

Ярлык представляет собой следующую строку:
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -exec bypass -w h -file z.ps1

То есть по факту запускается powershell-скрипт из образа.
Сам скрипт предельно прост:

$a=[char]1055+[char]1088+[char]1080+[char]1082+[char]1072+[char]1079+[char]46+[char]100+[char]111+[char]99+[char]120
Start-Process $a
Start-Process putty.exe

Если расшифровать первую строку, оказывается, что там написано: «Приказ.doc». То есть скрипт сперва открывает документ, а потом запускает PuTTY. Возникает логичное предположение, что либо файл DOC, либо PuTTY на самом деле являются вредоносными файлами. Но нет, их анализ показывает, что никакого вредоносного пейлоада они в себе не несут.

Документ из архива содержит всего одну строку: You are hacked. GG.

Вывод: похоже, что наши надежды найти закамуфлированный под антивирус троян не оправдались и мы имеем дело с банальной шуткой какого-нибудь script-kiddie, не поленившегося создать под это дело целый фейковый сайт. Впрочем, сама схема вполне работоспособна, если бы в PowerShell скрипте были бы другие строки, с его помощью можно было бы натворить дел.

Сегодня мы увидели информацию о том, что наши коллеги из мира ИБ обнаружили новый фишинговый сайт, который предлагал россиянам приобрести «отсрочку от призыва». В сообщении говорилось о том, что вредоносный сайт уже заблокирован, но мошенники могут запустить новую версию с другим адресом. На опубликованном скриншоте адрес сайта был замазан, но это неважно, ведь мы уже полтора месяца отслеживаем и блокируем подобные ресурсы, так что описываемый сайт был лишь одним из многих.

Мы не стесняемся публиковать ссылки на фишинг, поэтому вот вам живые примеры:
https://aqzmk.hazylyx.cfd/
https://rkuvx.huganag.cfd/
https://niw2v.hazylyx.cfd/
https://civoh.huganag.cfd/
https://dwij7.hazylyx.cfd/

Заметьте, что домены располагаются в зоне .CFD, а это весьма любопытная зона. Изначально доменная зона была предназначена для торговли CFD - контрактами на разницу цен. CFD считается рискованным финансовым инструментам. В США они даже запрещены законом. CFD стали подвергаться серьёзной критике с 2012 года, то есть вскоре после того, как было подано заявление на регистрацию доменной зоны. В итоге в этой зоне не было зарегистрировано ни одного домена.

Все изменилось в 2021 году, когда компания ShortDot сообщила о приобретении данной зоны. У новых владельцев зона получила новую расшифровку - Clothing & Fashion Design, однако представители индустрии моды новую зону не оценили. Зато оценили её злоумышленники, ведь регистрировать домены в этой зоне можно предельно легко и автоматизированно. Как итог мы имеем волну фишинга в данном домене, причем доменные имена регистрируются скриптами на основе произвольной генерации.

Все это предельно похоже на историю с активно используемо злоумышленниками доменной зоной Центральноафриканской Республики: .CF. Даже домен, черт побери, отличается всего на одну букву!

Мы назвали эту схему «Калоша». Только вот мы отлично понимаем, как не сесть в калошу. Находить такие сайты, пусть даже на доменах третьего уровня, для нас не представляет особого труда, как, впрочем, и отправлять их на блокировку. Сама мошенническая схема не является революционной, а лишь использует актуальную информационную обертку.

К слову сказать, люди, создающие подобные сайты, предлагающие купить отсрочку от мобилизации, отнюдь не являются новичками в криминальном бизнесе. Анализ их ресурсов позволяет выявить массу популярных мошеннических схем, к которым они успели приложить руку:
1. Схема с «коробочками» от имени VK: https://zxae0.pufufos.cfd/
2. Столото: https://h04if.qynevog.cfd/abdjc5b6jybi.php
3. Компенсационные центры: https://1yjl9.hywyhah.cfd/
4. И многое другое…

Обычно сайты с фейковыми выплатами ориентированы на жителей России, чуть реже Белоруссии и Казахстана, но сегодня у нас редкий гость: скам-проект под украинскую аудиторию.

Сайт сделан на типовом шаблоне «Единого компенсационного центра», в качестве контактных данных указан email: abuse.supp0rt.mail@gmail.com, который фигурировал на тысячах различных сайтов мошенников, начиная от выплат и заканчивая фейковыми биржами и трудоустройством. Мы много раз писали о сайтах, входящих в эту сеть

В этой истории забавно то, что в случае схемы с фейковыми выплатами почти всегда прослеживался украинский след, так что же поменялось теперь? Ведь «работать» по своим согражданам это «не комильфо». А факт регистрации домена через американскую компанию и использование зарубежного хостинга не вписывается в типичный почерк российских мошенников образца 2022 года.

У вас нет на счете 5 тысяч рублей? Простите, но вы нищеброд и мошенникам вы не интересны. Рассматриваем очередную схему с фейковыми выплатами на примере новой фишинговой кампании: https://telegra.ph/Vyplaty-ne-dlya-bednyh-11-04