Чтобы узнать телеграмм аккаунт скамера нужно всего лишь...

...посмотреть куда отправляются данные после кнопки "подтвердить" на фишинговом ресурсе 🤡

Как я писал тут, часто при создании фишкитов мошенники допускают ошибки в коде и выдают сами себя. На скриншоте видно, что достаточно использовать панель разработчика в браузере, чтобы увидеть куда улетают украденные данные на фишинговом сайте. В данном случае, отправка осуществляется телеграмм ботом, который отправляет все собранные данные в личку/чат фишеру в открытом виде😎

Кстати, фишинговый ресурс для анализа я приметил здесь.

❤@seclemur |❤@tinyscope

Привет! 👀

Мы запускаем своего бота @tinyscope_bot в свободное плавание!

Что он умеет сейчас:

✔️Искать с помощью регулярных выражений домены среди зарегистрированных за последние сутки и за последние 30 дней;
✔️Смотреть DNS записи домена;
✔️Получать Whois данные ресурса.

Надеемся он окажется полезным в вашей работе.

❤@tinyscope |❤@tinyscope_bot

#Охотимся на командные центры стиллеров👀

Известно, что боты в Telegram используются как C2 не только в фишинговых китах, но и для эксфильтрации данных с зараженной машины. На гитхабе полно разных примеров для отправки данных по пути хост жертвы->злоумышленник (link1 или link2).

Практически во всех случаях используется метод sendMessage , который имеет вид:

https://api.telegram.org/bot{Your_bottoken}/sendMessage?chat_id={your_chat_id}&text=Hello_world

Часто такой урл даже не шифруется внутри ВПО, что дает нам получить токен бота. Имея токен бота мы можем не только получить данные, которые украл злоумышленник, но и данные самого злоумышленника (утилита или методы Telegram bot API).

А где мы можем найти такие семплы? Конечно на песочницах!

1️⃣ Идем на любую песочницу с функционалом поиска по семплам. Например, Virustotal;
2️⃣ Ищем файлы, которые как-то коммуницируют с api.telegram.org (Relations -> Communicating Files);
3️⃣ Переходим в любой из вредоносных файлов и также идем в Relations;
4️⃣ Во вкладке Contacted URLs мы видим ключ для доступа к боту в сыром виде.

Этим же способом можно найти образцы ВПО, которые отправляют украденные данные в Discord, Anonfiles, Pastebin etc 🧠

❤@seclemur |❤@tinyscope

Будьте бдительны😈
Когда забыл переделать шаблон с прошлого фиша на новый

Куча дашбордов, в которые интересно потыкать

Сам я залип в ShadowServer - много информации об IoT устройствах по миру и различные данные с ханипотов

❤@seclemur |❤@tinyscope

Привет! 👀

В процессе разработки и исследований образовался скрипт для получения данных из TLS/SSL сертификата. Максимально быстрый и не требует танцев с бубном как zgrab2.

Принимает на вход домен/список доменов, а на выходе отдает файл в JSON :

./gocert -f ./domains.txt -o ./output.json

Попробовать можно здесь:
🧩 Github


❤@tinyscope |❤@tinyscope_bot

Как ребята на той стороне адаптируются под новостную повестку:
mtsbank.space
mtsbank.website
mtsbank-ipo.ru
mtsbankipo.ru
mts-bank.pro
mtsbank.xyz
mts-banking.online
mtsbank-ipo.online
mtsbank.shop
mtsbank.press
mtsbanking.online
mts-bank.online


Контента пока что на ресурсах нет, но думаю как только новость об IPO разлетится по интернету, то появятся предложения участия в IPO на выгодных условиях👀

❤@tinyscope |❤@tinyscope_bot

Деанон самых матерых

Минюст США сегодня опубликовали данные с установлением личности LockBitSupp - администратора и разработчика группировки вымогателей LockBit. Наверное, одной из самых известных ransomware группировок в даркнете - по данным разных источников доходы группировки исчисляются миллионами, если не миллиардами долларов.

Blackhat - это как игра в казино. Ты можешь в моменте сорвать куш, но на дистанции все ровно проиграешь. Да еще и в этом случае нанесешь вред окружающим.

❤@seclemur |❤@tinyscope

Недавно выступал на митапе где рассказывал о том куда можно пожаловаться на фишинговые и вредоносные ресурсы. Мне задали вопрос можно ли подать жалобу на вредоносный контент в Telegram.
Вот список контактов куда стоит сообщить:

⏩Volunteer support (Контакты есть в настройках TG)
⏩@Notoscam
⏩@AmeliaTearheart
⏩Форма на сайте (https://telegram.org/support?setln=ru)
⏩На почты:
- sms@telegram.org - проблемы со входом;
- dmca@telegram.org - проблемы с каналом;
- abuse@telegram.org - жалоба на контент;
- sticker@telegram.org - жалоба на стикеры;
- stopCA@telegram.org - детское насилие;
- recover@telegram.org - восстановить аккаунт;
- support@telegram.org - общая поддержка;
- security@telegram.org - вопросы безопасности.

❤@seclemur |❤@tinyscope

23 апреля нашел два свежезарегистрированных домена, паттерн которых был похож на те, что использует группировка SideWinder при своих атаках:

gov-govpk.info
dgps-govpk.com

SideWinder - индийская прогосударственная группировка, атакующая преимущественно соседние с Индией государства с целью шпионажа.

23 мая появляется отчет с изучением инфраструктуры группировки, где среди прочих перечислены вышеупомянутые индикаторы.

Примерно понимая шаблон по которому группировка подготавливает домены для своих фишинговых атак, я поискал недавно зарегистрированные тут - @tinyscope_bot

OSINT инструменты помогают находить и отслеживать деятельность группировок. Многие из них бесплатны и общедоступны.

❤@seclemur |❤@tinyscope

Запилили приятный сайтик со статистикой по доменам и некоторыми дашбордами - tinyscope.ru

А по этой ссылке можно наглядно увидеть что из себя представляет Certificate Transparency Log 😵

❤@tinyscope ❤@tinyscope_bot

Набор скриптов от Netlas для нетворк рекона и не только - git 🌐

Также Netlas выпустили хороший гайд по сбору скоупа цифрового следа организации из открытых источников - гайд 🔼

❤@seclemur❤@tinyscope