Киберпреступники начали взламывать телеграм-аккаунты при помощи тематических сайтов с изображениями, рассказали аналитики группы компаний «Солар».

Сотрудники центра мониторинга внешних цифровых угроз Solar AURA обнаружили более 300 ресурсов, созданных для кражи профилей в Telegram. На таких сайтах злоумышленники размещают привлекательные изображения, которые пользователи могут найти в поисковой выдаче.

При переходе по ссылке на картинку пользователя перенаправляют на фишинговый ресурс, имитирующий страницу Telegram. Большинство из них носят название вроде «Тебе понравится».

При попытке присоединиться к сообществу пользователь попадает на страницу с QR-кодом или формой для ввода логина и пароля от своего аккаунта в мессенджере. Если данные будут введены, они автоматически попадут к мошенникам. Включенная двухфакторная аутентификация не является преградой для злоумышленников: если ввести полученный код подтверждения на фишинговом сайте, злоумышленники получат доступ к профилю на своем устройстве и смогут завершить сессию настоящего владельца аккаунта.

Интересная особенность данной схемы – мошенники используют домены, которые по тематике не имеют привязки к распространяемым изображениям, друг к другу или к мессенджеру. Помимо этого, фишинговые сайты, созданные для кражи данных в Telegram, используют различные методы сокрытия вредоносного содержимого. Например, сайты в автоматическом режиме проверяют, откуда был осуществлен переход по ссылке. Если пользователь перешел не со страницы поисковой системы, то вместо фишингового сайта ему демонстрируется исходное изображение, которое он искал. Это делается для того, чтобы затруднить блокировку таких ресурсов: если пользователь решит пожаловаться на такой сайт и перешлет ссылку, вредоносный контент на нем просто не откроется.

По данным Солар, эта массированная кампания стартовала в декабре 2023 года. Хакеры создали сеть однотипных сайтов «с сотнями тысяч изображений» и описаний к ним. Картинки на каждом ресурсе объединены по тематике - эксперты обнаружили сайты про аниме, дорамы, фанфики, мемы и даже пиццу. Все обнаруженные ресурсы были заблокированы.

«На сегодняшний день это самая массовая и изощренная кампания, направленная на взлом Telegram-аккаунтов», — заявили в компании.