Целями злоумышленников стали пользователей Coinbase, MetaMask, Kraken и Gemini.
https://www.securitylab.ru/upload/ib...59ee9f867f.jpg
Фишинговые страницы, размещенные на сервисах Microsoft Azure и Google Sites рекламируются через комментарии, которые размещаются на легитимных сайтах сетью из ботов, которую контролируют злоумышленники. Такая тактика позволяет увеличить трафик, повысить рейтинг фейкового сайта в поисковых системах и обойти системы автомодерации.
https://lh3.googleusercontent.com/ri...BHaVBB-WaYjm6s
Комментарий со ссылками на фишинговые страницы
Новая кампания была замечена аналитиками компании Netskope , которые отметили, что эта тактика позволила некоторым мошенническим сайтам появиться в качестве первого результата в поиске Google .
Что еще хуже, как показано ниже, Google также включил фишинговые страницы в Выделенные описания, обеспечив им максимальную видимость в результатах поиска.
https://lh3.googleusercontent.com/8y...lALcqYOyJxdMYI
Фишинговый сайт в виде первого ответа на поисковый запрос
В компании, замеченной Netskope, мошенники создавали сайты, имитирующие Metamask , Coinbase , Gemini и Kraken , чтобы обмануть жертв и получить данные их криптокошельков. Страницы, созданные на Azure и Google Sites – лендинги, которые перенаправляют жертв на настоящие фишинговые страницы после нажатия кнопки “вход”.
https://lh5.googleusercontent.com/4L...4oR1UPf7gj6jlg
Фейковый лендинг криптокошелька Kraken
На фишинговых страницах злоумышленники пытаются украсть учетные данные или seed-фразы жертвы. Вся схема выглядит так:<ul><li>На всех фишинговых сайтах пользователи вводят свои учетные данные, после чего перенаправляются на фальшивую страницу, которая просить указать жертву свой номер телефона и ввести код из СМС;</li>
</ul><ul><li>Как только пользователь вводит код, сайт выдает фальшивую ошибку о несанкционированной активности и проблемах с авторизацией, заставляя жертву нажать на кнопку "Обратиться к эксперту";</li>
</ul><ul><li>После этого жертва попадает на страницу с онлайн-чатом, где мошенник, выдающий себя за работника технической поддержки, заставляет жертву установить TeamViewer.</li>
</ul>После этого злоумышленник может получить удаленный доступ к устройству жертвы, а затем собрать коды многофакторной аутентификации, необходимые для входа в аккаунты жертвы на криптобиржах.