Hakerzy próbują oszukać gejów. Na celowniku użytkownicy aplikacji randkowej

Geje szukający w internecie erotycznych przygód powinni zachować ostrożność. Okazuje się, że cyberprzestępcy próbują podszywać się pod duży serwis randkowy.

Cyberprzestępcy stworzyli szereg złośliwych stron internetowych w domenach przypominających nazwę portalu i aplikacji Sniffies – serwisu randkowego dla homoseksualnych i biseksualnych mężczyzn. Nazwy fałszywych domen często różnią się od oryginału tylko jedną literą, stąd bardzo łatwo nie zauważyć „błędu" w linku lub wpisywanym adresie i trafić na stronę stworzoną przez hakerów. Ta technika oszustwa zwana jest typosquattingiem. Złośliwe witryny często wizualnie nie różnią się od autentycznej strony WWW Sniffies, a przestępcy za ich pomocą dokonują oszustw i rozpowszechniają podejrzane rozszerzenia Google Chrome.

Uruchomiona w 2018 r. witryna i aplikacja Sniffies to usługa internetowa dla gejów oraz biseksualnych mężczyzn, która służy im do poszukiwania partnera na randkę. Kampania typosquattingu skierowana do użytkowników Sniffies jest szeroko rozpowszechniona. „Etyczny haker” i badacz bezpieczeństwa Kody Kinzie przekazał serwisowi BleepingComputer listę ponad 50 nazw domen, z których wiele to złośliwe odmiany marki Sniffies.

Zobacz również:

Najlepsze rozszerzenia VPN dla Google Chrome

Wiele z tych domen jest obsługiwanych przez przestępców, którzy mają nadzieję oszukać użytkowników błędnie wpisujących w przeglądarce adres Sniffies.com lub klikających fałszywe linki i trafiających na fałszywą stronę WWW. Tam są nakłaniani do wykonania następujących czynności:

zainstalowania podejrzanych rozszerzeń Chrome;
uruchomienia aplikacji Apple Music, co pozwoli hakerom na zarobienie prowizji;
przejścia do fałszywych witryn „wsparcia technicznego”;
przejścia do fałszywych stron z ofertami pracy.

W testach przeprowadzonych przez BleepingComputer jedna z takich fałszywych stron pod adresem sniiffies.com losowo zachęcała do powyższych czynności. Przy innych próbach pojawiały się także monity o zainstalowanie podejrzanych rozszerzeń Google Chrome, takich jak AdBlock Max i Movie Database.

Co prawda pracownicy BleepingComputer wykryli w AdBlock Max kod blokujący reklamy, ale zachęcanie użytkowników za pomocą inwazyjnej reklamy do skorzystania z blokera reklam to kiepski żart. Ponadto rozszerzenia te mogą zawierać niechciane funkcje, takie jak śledzenie poczynań użytkownika w internecie – cały kod rozszerzeń nie został sprawdzony.

Do tej pory zidentyfikowano ponad 50 domen udających Sniffies.com

Podobne kampanie typosquattingu były już kierowane przeciwko innym markom. Pracownicy BleepingComputer zauważyli, że klienci Virgin Atlantic mogą przypadkowo wpisać w pasku przeglądarki adres virginatlantc.com, pod którym kryje się podejrzana strona. Jednak to liczba fałszywych domen podobnych do Sniffies.com wydaje się największa.

Kody Kinzie użył narzędzia DNSTwist do pasywnego wygenerowania błędnych wersji Sniffies.com. Spośród 3531 permutacji 51 okazało się zarejestrowanymi domenami, pod którymi działają fałszywe aplikacje internetowe.

– Zrobiłem kilka samouczków, jak używać narzędzia DNSTwist i lokalizować kampanie typosquattingu – mówi Kinzie. – Zobaczyłem dużą liczbę domen zarejestrowanych z tą samą konfiguracją rekordu MX, mimo że strony WWW były hostowane na różnych platformach.

Szacuje się, że Sniffies.com odnotowuje co miesiąc ponad 20 milionów odwiedzin użytkowników z całego świata i ma specyficzną nazwę, która wyjaśnia zainteresowanie przestępców wykorzystujących w działalności permutacje nazw domen. Wyraz „sniffies” po prostu o wiele łatwiej wpisać błędnie niż inne słowa, trudniej też zauważyć błąd w linku. Wszystko przez położone obok siebie znaki „i” oraz „f”.

Trzeba przyznać, że Google Chrome ostrzega przed niebezpieczeństwem literówek w nazwach domen. Na przykład, wpisując w Chrome adres blinkcomputer.com, przeglądarka dwukrotnie sprawdza, czy nie chodziło o BleepingComputer. Jednak nie ostrzega w przypadku wszystkich błędnych nazw, w tym podobnych do Sniffies.com.

Użytkownikom Sniffies.com (i nie tylko) zalecamy uważne wpisywanie nazwy strony internetowej i upewnianie się, że witryna, którą odwiedzają, nie jest fałszywa.

Źródło: BleepingComputer