Конкурс на выбывание: как у медиаменеджеров угоняют аккаунты в Telegram

В Telegram замечена новая волна угонов аккаунтов. Цели атаки — российские медиаменеджеры, маркетологи, журналисты, пиарщики.

В эти выходные специалисты Центра кибербезопасности F.A.C.C.T. обнаружили 462 домена для кражи учетных записей в Telegram с различными легендами о голосовании в конкурсах, которые вели на ресурсы с фишинговыми формами для авторизации.

Напомним, что массовые угоны аккаунтов с помощью голосований начались прошлым летом. Сначала мошенники использовали легенду с конкурсами детского рисунка, вокала или балета, а с декабря прошлого года переключились уже на более взрослые сценарии.

Жертву добавляли в группу и просили проголосовать на конкурсе "THE BEST PROJECT MANAGER" или "Marketing and PR Specialist". С неймингом таких чатов злоумышленники долго не думали: чтобы такие каналы было труднее обнаружить, они называют их "Всем привет", Добрый день всем", "Доброе утро!".

Еще один скриншот мошеннической группы

В одном из примеров ссылка вела на домен https://online-happy[.]ru, созданный три дня назад, где надо было выбрать одного из двух кандидатов.

Форма для голосования

Затем происходит редирект на другой ресурс, например, allance-online24[.]ru, где участнику голосования предлагают авторизоваться в Telegram через QR-код или отправку кода на телефон.

Так происходит компрометация аккаунта — или, проще говоря, его угон. Злоумышленники сразу отвязывают его от текущего номера и жертва теряет доступ к своим перепискам в мессенджере, контактам и сохраненным сообщениям, фото и видео.

Авторизация через QR-код

Авторизация через код

После угона аккаунта предложение поучастовать в голосовании отправлялось уже по базе контактов. То есть каждая новая жертва уже сама становится распространителем мошеннических объявлений.

Начиная с