Przegląd ataków na polskich internautów (6–19.09.2021 r.)

We wpisie prezentujemy wybrane ataki na polskich internautów. Jeśli pomysł się Wam podoba, będziemy takie podsumowanie przygotowywać raz na tydzień. Macie sugestie? Chcecie takiej serii wpisów? A może wpadła Wam w oko złośliwa kampania? Komentujcie lub piszcie na sekurak@sekurak.pl

Phishing podszywający się pod PKN ORLEN. Zawsze należy weryfikować domenę (tutaj bardzo podejrzana) i nie wolno ufać podobnym przekazom:

„Aktualizacja” Messengera. Strona wygląda identycznie jak ekran logowania do komunikatora. Domena zdecydowanie nie należy jednak do Facebooka. Po podaniu danych do logowania zostaną one wysłane do atakującego. Post został zamieszczony w facebookowej grupie Sekurak:

Informacja o rzekomym pobraniu części środków z konta bankowego przez rząd. Teoretycznie takie działania są możliwe i usankcjonowane prawnie, ale obecnie nic takiego nie ma miejsca. Sama treść jest całkiem profesjonalnie napisana (ING jako „nadawca”, podanie nazwy firmy, brak poważnych błędów gramatycznych). Uwagę powinny zwrócić tytuł przelewu i użycie angielskiego słowa overnight. Pisaliśmy już o tym na Sekuraku:

Dość typowy atak informujący o „szybkim zarobku”. Wykorzystuje markę Tesla i postać Roberta Lewandowskiego, co niestety często zwiększa skuteczność w dotarciu do szerszej grupy użytkowników. Uwagę powinna zwrócić domena, która nie należy do standardowych. Post zamieszczony w grupie Sekurak:

Spam z załącznikiem w postaci pliku HTML. Nie mamy szczegółowych informacji na ten temat, ale sam plik raczej nie jest szkodliwy. Po prostu należy ignorować wiadomości od podejrzanych nadawców i skierowane do równie podejrzanych odbiorców (wyłącznie zagraniczne nazwy kont). Zrzut ekranu zamieszczono w grupie Sekurak:

SMS ze skróconym linkiem. Można powiedzieć, że to standard w świecie ataków tego typu. Tym razem link przekierowuje do electlinks[.]biz, gdzie pojawiają się informacje dotyczące możliwości wzbogacenia się dzięki inwestycji w bitcoiny. Treść SMS-a – dostępna w grupie Sekurak.

Fałszywa reklama Banku Millennium. Niestety przygotowana bardzo „profesjonalnie”. Materiał udostępniono w grupie Sekurak.

Bank jest świadomy tych ataków, ostrzega przed nimi m.in. podczas logowania do Millenetu, podając całkiem sensowne porady:

Fałszywe strony logowania do mBanku. W tym przypadku również należy weryfikować zawartość paska adresu. Te metoda nie będzie skuteczna, jeśli malware zmodyfikowało nasz plik hosts. Z tego powodu nie powinno się korzystać z konta z uprawnieniami administracyjnymi. Adresy i zrzuty ekranu udostępnione na Twitterze przez Threat Labs:

Podszywanie się pod stronę BIK i firmy DPD. Powodem konieczności zapłaty jest „podatek kurierski”. Pomysłowe, ale wygląd strony nie jest idealny, co powinno zwrócić uwagę:

Udostępnione na Twitterze przez CSIRT KNF.

Złośliwa aplikacja podszywająca się pod usługę BLIK. Tak naprawdę jest to złośliwe oprogramowanie Alien, które potrafi przede wszystkim wykradać dostępy do bankowości internetowej. Ostrzega przed nią CSIRT KNF.

Scam nakłaniający do zapłaty w bitcoinach. Przestępcy sugerują, że wiedzą o rzekomym przestępstwie związanym z posiadaniem substancji odurzających. W zamian za zachowanie „tajemnicy” proszą o wpłatę bitcoinów na podany adres:

Podszywanie się pod ING. Nie każdy wie, że można ustawić dowolną nazwę wykonującego połączenie. W tym przypadku jest to próba podszycia się pod ING Groep. Post pojawił się w grupie Sekurak:

Kolejne ataki – w zestawieniu tygodniowym – będziemy przedstawiać w poniedziałki.

–Michał Giza