Специалисты компании RiskIQ рассказали о мошенниках, которые выдают себя за популярных ютуберов (включая Philip DeFranco, Jeffree Star и Bhad Bhabie) и заманивают жертв на вредоносные сайты с фальшивыми опросами. И хотя мошенники бесспорно сильны в социальной инженерии, по словам специалистов, техническими познаниями они похвастаться определенно не могут.
Исследователи объясняют, что основная проблема в данном случае скорее находится на стороне YouTube: сайт позволяет злоумышленникам с легкостью подделывать профили любых существующих пользователей, а также рассылать опасный спам. Дело в том, что имя аккаунта может отличаться от имени, видимого посетителям канала, а запрос на добавления в друзья можно отправить любому пользователю платформы (когда запрос будет принят, можно отправить этому человеку личное сообщение).
Именно этим пользуются злоумышленники, создавая «клоны» настоящих популярных каналов и рассылая от имени этих профилей спам. Примеры таких сообщений можно увидеть ниже.
Как можно заметить, во всех случаях жертву приглашают перейти по короткой ссылке (чаще всего для сокращения URL используется сервис bit.ly) и поучаствовать в розыгрыше некоего приза.
В итоге жертва попадает на сайт, где ей предлагают принять участие в розыгрыше iPhone (адреса мошеннических сайтов соответствуют, например, iPhoneXfree[.]net и GetiPhoneXhere[.]com) или подарочных сертификатов.
Если пользователя ничего не настораживает, далее его просят указать информацию о себе, включая имя, адрес, страну проживания и email. Казалось бы, осталось только верифицировать эти данные, но теперь атака переходит в основную фазу, которая и приносит преступникам деньги: пользователя просят перейти по реферальной ссылке и пройти один из предложенных опросов. Доход злоумышленникам приносят именно личные данные людей и клики по реферальным ссылкам, так как за каждого посетителя мошенникам платят операторы опросов.
Эксперты рассказывают, что стоящие за этими кампаниями мошенники явно не привыкли маскировать свои операции. Так, простой визит на iPhoneXfree[.]net позволил экспертам узнать, как давно этот сервер используется для подобной активности. Другой сайт, bootstraplugin[.]com , помог обнаружить около 300 других доменов, которыми преступники пользовались с 2016 года.
Также специалистам удалось отследить статистку использованных мошенниками ссылок Bitly. По некоторым из них переходили многие тысячи раз.
