Нетипичный случай обмана угрожает всем, кто сидит с мобильного интернета

Зафиксирован новый способ, которым злоумышленники направляют интернет-пользователей на мошеннические сайты, сообщили Tochka.by в Центре кибербезопасности (SOC) hoster.by.

В зоне повышенного риска оказались владельцы смартфонов, использующие мобильный трафик.

Одна ссылка – разные сайты

Специалисты SOC обнаружили, что ресурс одного из клиентов взломан.

В ходе расследования были найдены вредоносные файлы, которые определяли, с какого устройства пришел пользователь, а также какой интернет он использует: мобильный или нет.

При переходе по прямой ссылке с компьютера сайт открывается корректно, а вот при попытке зайти на него со смартфона – происходит перенаправление на мошеннический ресурс с предложениями платных подписок.

"Представьте, что вы вводите интернет-адрес, например, банка и попадаете на предложение оформить услугу или подписку в один клик. При этом услуга не имеет к реальному банку никакого отношения", – комментирует руководитель центра кибербезопасности hoster.by Сергей Самохвал.

Что самое тревожное, подписка действительно оформится моментально, без какой-либо авторизации и подтверждений в виде СМС с кодом.

Владельцы интернет-площадок обычно даже не подозревают о взломе. А вредоносный код попадает на ресурс задолго до того, как будут заметны какие-либо ощутимые последствия.

Как это работает

Восстановить ход событий не составило труда.

Злоумышленники подобрали пароль к административной части сайта и внедрили в него веб-шелл. Это небольшая программа, которая дает доступ к серверу для выполнения на нем каких-то действий.

Она может долго оставаться незамеченной, поэтому, разместив ее однажды, можно продолжительное время эксплуатировать веб-ресурс.

В данном случае веб-шелл был написан таким образом, чтобы анализировать источник трафика. Он перенаправлял на сторонний ресурс только ту часть посетителей, которая использует мобильный интернет.

В итоге пользователи стационарного интернета попадали на привычный сайт, а мобильные – на сайт с платными подписками.

Как защититься

В ходе расследования специалисты SOC проанализировали IP-адреса, с которых произвели взлом.

Оказалось, что с их помощью было скомпрометировано еще несколько сайтов, на которых обнаружили ту же скрытую проблему.

Специалисты оперативно устранили ее у своих клиентов и направили предупреждения владельцам ресурсов, которые у них не обслуживаются.

Но схема может "всплыть" вновь.

Чтобы защититься, в центре кибербезопасности советуют регулярно менять пароли к административной части сайта и делать их сложными.

Кроме того, рекомендуется следить, чтобы не было учетных записей уволенных сотрудников, которые давно не используются.

Также не забывайте сразу обновлять движок сайта, как только выходят обновления: очень часто веб-шеллы массово размещают через уязвимости, которые устраняются в обновленных версиях.