और फिर से भेड़ के कपड़ों में भेड़िया

फ़िशिंग साइट को किसी भी साइबर अपराधियों की किंवदंतियों से मेल खाने के लिए पर्याप्त रूप से विश्वसनीय दिखना चाहिए। अक्सर, सुरक्षा से संबंधित किसी चीज़ को एक किंवदंती के रूप में चुना जाता है, ऐसे संसाधन संभावित पीड़ितों के बीच अधिक विश्वास पैदा करते हैं। और यहाँ इस दृष्टिकोण का एक ताजा उदाहरण है: sbersecure.ru ।

साइट के आसपास की घटनाओं में तेजी से विकास हुआ। डोमेन नाम 16 अप्रैल की शाम को पंजीकृत किया गया था, और अगले दिन इस पर एक फ़िशिंग साइट दिखाई दी। प्रारंभ में, रूसी होस्टलाइफ़ हॉस्टल के सर्वर को DNS के रूप में निर्दिष्ट किया गया था, हालांकि, केवल 9 घंटों के बाद, क्लाउडफ्लारे के पते, एक कंपनी जिसे प्रस्तुत करने की आवश्यकता नहीं है, एनएस रिकॉर्ड में दिखाई दी। 17 अप्रैल 15 घंटे मॉस्को समय पर, संसाधन ने उसी CloudFlare द्वारा जारी एक एन्क्रिप्शन प्रमाण पत्र का अधिग्रहण किया।



फ़िशिंग साइट पर करीब से नज़र डालें।

संसाधन बनाने के लिए, मूल साइट की आंशिक प्रतिलिपि बनाने की एक काफी लोकप्रिय विधि का उपयोग किया गया था। इस मामले में, हमलावरों ने आधार के रूप में बैंक के लोकपाल सेवा पृष्ठ को "ग्राहक सुरक्षा सेवा" के लिए "लोकपाल की सेवा" शब्दों को बदल दिया।

यहां मूल लोकपाल सेवा पृष्ठ है।



और यहाँ एक फ़िशिंग साइट है।



उसी समय, परिवर्तन केवल साइट के मध्य भाग को प्रभावित करते हैं, हेडर, संदर्भ मेनू और पाद पूरी तरह से मूल डिजाइन को दोहराते हैं। Sberbank.Online सेवा में प्राधिकरण पृष्ठ के लिए एक लिंक सहित सभी लिंक, Sberbank की वास्तविक साइट पर ले जाते हैं।

फ़िशिंग साइट का सामान्य दृश्य।



फ़िशिंग संसाधन का एक प्रमुख तत्व एक बटन है जो कहता है "तत्काल सहायता प्राप्त करें।" इस पर क्लिक करने से हमें पृष्ठ sbersecure.ru/help.html पर पुनर्निर्देशित किया जाता है। समानांतर में, जावा स्क्रिप्ट का एक पूरा गुच्छा लॉन्च किया जाता है, जिनमें से अधिकांश काम नहीं करते हैं। उत्सुकता से, स्क्रिप्ट में से एक ibbe.group-ib.ru संसाधन का उपयोग करता है। जाहिर है, यह समूह-आईबी से सुरक्षित बैंक सेवा की एक स्क्रिप्ट है, जो इस बैंक की वेबसाइट से फ़िशिंग संसाधन से विरासत में मिली है।



संसाधन के दूसरे पृष्ठ को "धन का पृथक्करण" कहा जाता है। 18 अप्रैल को, जब यह साइट देखने में आई, तो यह इस तरह दिखी।



कर्मचारी के लिए एक मनमानी कर्मियों की संख्या दर्ज करने का प्रयास करने से कुछ भी नहीं हुआ, दूसरा भाग - "Sberbank के लॉगिन और पासवर्ड को ऑनलाइन रीसेट करना" निष्क्रिय था।

सप्ताहांत में पृष्ठ बदल गया है। कर्मियों की संख्या दर्ज करने के लिए फॉर्म गायब हो गया है, लेकिन ऑनलाइन बैंक के व्यक्तिगत खाते से लॉगिन और पासवर्ड बदलने के लिए एक फॉर्म उपलब्ध कराया गया है। यह फ़िशिंग संसाधन के संभावित उपयोगों को स्पष्ट करता है।



यह देखना मूर्खता होगी कि भेजे गए डेटा का क्या होता है, इसलिए हम मनमाने शब्दों के साथ फॉर्म भरते हैं और "पुष्टि करें" बटन पर क्लिक करते हैं।

सादे पाठ में बटन पर क्लिक करने से निम्नलिखित डेटा sbersecure.ru/php/add_login_bank.php स्क्रिप्ट पर जाता है: उपयोगकर्ता नाम और पासवर्ड Sberbank.Online सेवा से, निवास और आईपी पते के क्षेत्र के बारे में जानकारी। नए लॉगिन और नए पासवर्ड दर्ज करने के लिए फ़ील्ड से जानकारी को स्पष्ट कारणों से अनदेखा किया जाता है। उसके बाद, पृष्ठ sbersecure.ru/get_info.html पर पुनर्निर्देशित होता है, जिस पर हमें नाम, उपनाम, फोन नंबर, साथ ही कार्ड डेटा, जिसमें संख्या, CVV और इसकी वैधता दर्ज करने के लिए कहा जाता है।



बुरा नहीं है, है ना? लेकिन हम, जैसा कि बैंक की सुरक्षा सेवा के पृष्ठ पर थे, हम ... काल्पनिक डेटा दर्ज करते हैं (साइट वैधता के लिए कार्ड संख्या की जांच नहीं करती है) और एक वास्तविक फोन नंबर। दर्ज किया गया डेटा sbersecure.ru/php/input_user_data.php पर जाता है , और हम अगले पृष्ठ पर खुद को पाते हैं।



तर्क पूरी तरह से स्पष्ट नहीं है, शायद, चूंकि हम धन के अलगाव के बारे में बात कर रहे हैं, यहां पीड़ित को अपने दूसरे बैंक कार्ड के डेटा को दर्ज करना होगा। फिर, मौजूदा फोन नंबर को इंगित करते हुए, खेतों में विश्वसनीय कचरा भरें। दर्ज किया गया डेटा sbersecure.ru/php/input_frand.php पर प्रेषित किया गया है । ईमानदारी से, मुझे नहीं पता कि फ्रैंड का क्या मतलब हो सकता है, लेकिन मुझे संदेह है कि यह एक विकृत दोस्त है।

देखा!



मुख्य रूप से पर्याप्त है, हम अपने आप को एक एसएमएस संदेश से कोड दर्ज करने के लिए पेज पर पाते हैं। उसी समय, Yandex से एसएमएस फोन पर आता है। ऐसा लगता है कि कोई व्यक्ति Yandex.Money सेवा का उपयोग करके स्थानांतरण करने का प्रयास कर रहा है। हम कोड दर्ज करते हैं, फोन नंबर पर डेटा और दर्ज किए गए अक्षर sbersecure.ru/php/input_sms_2.php पर जाते हैं , और पिछले पृष्ठ पर लौट आते हैं।

इसके बाद, संकेतित नंबर पर एक और एसएमएस आता है। आप इस चक्र को लगभग अंतहीन रूप से जारी रख सकते हैं।

बेशक, अगर हम धन हस्तांतरण योजना के विवरण के बारे में बात करते हैं, तो यह काफी हद तक एक धारणा है। प्रयोग की शुद्धता के लिए, आपको एक वैध के डेटा को दर्ज करना चाहिए, एक वर्चुअल बैंक कार्ड के साथ, वित्त के आंदोलनों को ट्रैक करने की कोशिश करनी चाहिए, और इसी तरह, लेकिन अब भी यह स्पष्ट है कि इस साइट की मदद से हमलावरों को कम से कम प्राप्त होता है:

• नाम
• पहला नाम
• पूर्ण क्रेडिट कार्ड विवरण
• फोन नंबर
• Sberbank.Online सेवा में प्रवेश करने के लिए लॉगिन और पासवर्ड

अपने निपटान में इस तरह की जानकारी के साथ, आप आसानी से विभिन्न तरीकों से बैंक खातों से पैसे चुरा सकते हैं।

स्वाभाविक रूप से, मेरे सहकर्मी और मैं शांति से ऐसे संसाधन से नहीं गुजर सकते थे, इसलिए 18 अप्रैल की शाम को हमने आधिकारिक वेबसाइट पर फीडबैक फॉर्म का उपयोग करके इसके बारे में Sberbank को जानकारी भेजी। 2 दिनों के बाद, 20 अप्रैल को, हमें एक पत्र मिला जिसमें कहा गया था कि हमारी अपील पंजीकृत है।

बाद में हमने कपटपूर्ण संसाधनों के बारे में संदेश भेजने के लिए विशेष फ़ॉर्म का उपयोग करते हुए अपील को दोहराया, जो Google के बिना खोजना बहुत मुश्किल था: www.sberbank.ru/ru/person/dist_services/warning/form

चलो आशा करते हैं कि बैंक संदेश का तुरंत जवाब देगा और फ़िशिंग साइट नेटवर्क से गायब हो जाएगी जितनी जल्दी दिखाई देगी।