Nie każda korona to wirus (IoC)

Jak można się domyślać, wszelkie systemy wyłapujące phishing – nie tylko nasze – nastawione są wyjątkowo czule na wszelkie sygnały, związane z koronawirusem. Przestępcy uwielbiają żerować na naszym strachu, a obecnych czasach mało co wywołuje większe emocje, niż szalejąca po świecie pandemia.

Co ciekawe, analiza dzisiejszych przypadków, które trafiły do CERT Orange Polska, dowodzi, że nie zawsze mamy do czynienia ze złymi ludźmi. Przede wszystkim mocno uspokoiły się phishingowe SMSy, sugerujące np. konieczność dopłaty do „dezynfekcji paczki”. Wciąż regularnie pojawiają się witryny, klasyfikowane przez nas do kategorii Fake Newsy. Tu oczywiście głównym motywem jest koronawirus – czy to najświeższe informacje z frontu walki z mikrobem, czy też „ulubione” przez przestępców „porwania” (również w wersji z ucieczką), tym razem ze… szpitala zakaźnego.

W nawale stron potencjalnie złośliwych trafiają się jednak też te do cna uczciwe, nierzadko niosące pomoc, co dowodzi tego, iż mimo mnóstwa inteligentnych systemów najistotniejszym ogniwem w radzeniu sobie z zagrożeniami wciąż pozostaje człowiek. Dopiero dokładniejsza analiza dwóch z dzisiejszych witryn pokazała, że mieliśmy do czynienia z przedsięwzięciem, pomagającym małym piłkarskim klubom, czy też stroną prezentującą oficjalne statystyki pandemii ze strony WHO, podane w formie akceptowalnej nawet przez mało wydajne smartfony.

A na koniec ciekawostka, strona poczta.ws. Domena wyższego rzędu Wysp Samoa automatycznie wzbudza podejrzenia, nic więc dziwnego, że poświęciliśmy chwilę czasu, by przyjrzeć się jej dokładniej. Próba wejścia na główną stronę powoduje reset połączenia, a najpopularniejsze sandboxy pokazywały uparcie, że wszystko jest w porządku. Dopiero użycie narzędzia nieco bardziej wyrafinowanego pomogło odnaleźć zaszyte głębiej w kodzie adresy ewidentnie fake newsowych witryn, kojarzonych z koronawirusem. Tak więc, admini – blokujcie zawczasu poniższe, tym bardziej, że pierwsze trzy wykrywa zaledwie 1 z 77 silników antywirusowych! Nasza CyberTarcza już się tym zajęła.

hxxp://coronavirustestkit.co.za/
hxxp://coronadisco.co.uk/
hxxp://bidenhascovid19.co/
hxxp://xn--nstagrarn-upb.com/
hxxp://freecoronavirusoffer.com/