Скам-бот в Telegram выдал себя таймером: разбор юзербота с реконструкцией на Telethon «Мария» написала первой. Увидела собеседника в IT-группе, хочет войти в профессию, просит материалов. Через полчаса в истории уже были закрывшийся салон, развод и «может на ты перейдём». Что перед ним юзербот, автор заподозрил почти сразу. Гораздо интереснее оказалось понять, к чему ведёт диалог и как всё устроено внутри. Первая странность обнаружилась во времени. Длинные и короткие сообщения, разные темы, день и глубокая ночь — а ответ почти всегда приходит через 4-5 минут. Дальше начались проверки с выдуманным городом, удалённым сообщением, пустым голосовым и просьбами, которые совсем не вписывались в легенду «Марии». Вопрос «бот или человек?» довольно быстро перестал быть главным. Куда интереснее оказалось восстановить возможную механику происходящего.

Я рассказывал у себя в видео о том, что на работе раз в месяц примерно каждый разработчик на неделю "заступает" на вахту и решает проблемы появляющиеся на проде. Такая практика есть у многих компаний. И прямо сейчас, нидерландская полиция пытается по голосу найти преступника, который связался с таким айтишником-вахтером в компании Odido (это местный оператор связи). Во время звонка преступник преставился коллегой-разработчиком и умудрился по телефону получить доступ к данным 6 миллионов клиентов компании. Так что даже такая рутинная работа как мониторинг проблем на проде может иметь серьезные последствия, если не соблюдать меры безопасности и верить всем подряд. На видео можно послушать как происходил диалог.

🙂Охота на охотников:

как элитных безопасников на DEF CON пытались развести через Google Docs

Нападать на ИБ-специалистов прямо во время культовых хакерских консилиумов Black Hat и DEF CON - верх наглости, но киберпреступников это не смутило. ⚡️Злоумышленники развернули целевую фишинговую кампанию против участников тусовки, прикрываясь брендом CoinDesk и фейковыми предложениями о сотрудничестве. Однако сотрудник компании Huntress раскусил скамера с первых секунд, подыграл ему и записал весь Kill Chain до мельчайших деталей. 🔍Схема строилась вокруг интерактивных документов Google Docs с кастомным Apps Script:

🟦Интерактивная ловушка: Жертве присылали ссылку на документ и секретный "ключ расшифровки". Вбитый ключ ожидаемо выдавал ошибку, после чего скрипт на лету определял ОС и предлагал жертве "восстановить доступ".

🟦Удар по macOS: Пользователям яблочной системы подсовывали вредоносный образ под видом обновления Google API или команду для Терминала. Внутри прятался инфостилер Atomic macOS Stealer (AMOS), выгребающий связку ключей Keychain, криптокошельки, сессии Telegram и заметки.

🟦Взлом Windows: Под винду скамеры раздавали поддельный установщик со скомпрометированным сертификатом Discord. Софт ставил скрытый модуль NetSupport RAT, искал локальные приложения Ledger и подменял обращения к VirusTotal через локальный прокси, чтобы антивирусные проверки выдавали фальшивый "чистый" отчет.

Для целевой социальной инженерии не существует неприкасаемых. Даже когда по ту сторону экрана сидит опытный реверс-инженер или пентестер, атакующие не стесняются использовать банальные трюки с фейковыми ошибками доступа, рассчитывая на усталость и невнимательность жертвы. 🦔 CyberYozh

Хакеры атаковали финансовые гиганты США с помощью обычных звонков По данным Google Threat Intelligence, за последний месяц десятки крупнейших инвестиционных фондов и финансовых компаний США подверглись масштабным кибератакам. Группировки под именами Redact, Pink, Falcon и Helix создали 72 фейковых сайта для кражи учетных данных, но главным инструментом взлома стала социальная инженерия по телефону. Злоумышленники звонят сотрудникам на личные номера, подменяя входящий ID на номер внутренней IT-службы. Под предлогом срочного обновления паролей или настройки MFA жертву направляют на фишинговый сайт вроде passkeyhelpdesk. Как только пользователь вводит пароль и называет код из SMS или приложения аутентификации прямо во время разговора, хакеры мгновенно получают полный доступ к корпоративному аккаунту. Основной целью атак стали частные инвестфонды и юридические фирмы, так как хакеры рассчитывают на крупный выкуп за неразглашение конфиденциальных данных.

Прочел про новый вид спама. Это гениально, по-моему. Вам приходит очередное письмо от крупного бренда, Пятерочки или Adidas. Содержание – образец унылого CRM-маркетинга, новые коллекции, новости продукта, прочий бред. Вы машинально пролистываете текст до заветной кнопки “отписаться от рассылки”, кликаете по ней и оказываетесь на фишинговом сайте. А он уже, например, просит логин-пароль от аккаунта – это вполне адекватная просьба при отписке, многие просят, многие вводят. Не надо выдумывать причины кликнуть, обещать миллионы и участие в сомнительных конкурсах. Просто кнопка «отписаться» мелким серым шрифтом внизу. Человек без тени сомнения нажимает сам! Для атаки нужно просто зарегистрировать домен похожий на настоящий. adidas-ecom.com наверняка свободен. Будьте осторожны.