Смачний спам: підлий URL-адрес жертв хитрості в дієтичних таблетках, аферах на роботі від дому

Постачальники пошти все краще відфільтровують спам, перш ніж він навіть потрапить у наші вхідні. Незважаючи на це, деякі повідомлення все ще проникають. Спамери постійно налаштовують свої кампанії, щоб подолати фільтри спаму. Іноді ми потрапляємо до спаму, бо наші друзі потрапляли за аферу. Спам все ще залишається проблемою, але ми можемо вирішити.

SecurityWatch попросив експертів із безпеки компанії Cloudmark поставити прапор та проаналізувати поточну спам-кампанію. Ми розглянемо тип повідомлень, що надсилаються, та інфраструктуру, що стоїть за операцією. Цього місяця ми дивимось на операцію під назвою "Com Spammers".

Операція Com Spammer

Операція Com Spammer спеціалізується на схемах роботи від дому, дієтичних таблетках, а останнім часом - чудо-антивікових крем для шкіри. Банда монетизує спам-кампанії електронною поштою та SMS через жертв, які зареєструвалися, щоб придбати один із цих продуктів. Що стосується дієтичних таблеток, які надсилаються поштою з передмістя Атланти, Георіга, потерпілі, ймовірно, щодня повторюють дво- або трицифрову плату на своїх кредитних картках.

Федеральна комісія з торгівлі змогла закрити частину багатомільйонної афери на роботу з дому в середині лютого, "але вони вже повертаються до своїх старих хитрощів", ​​- сказав Ендрю Конвей, аналітик з дослідження компанії Cloudmark. Банда переадресувала старі посилання на роботу з дому, щоб пропагувати дієтичні таблетки після дій FTC, але ця сторона бізнесу, здається, повертається в дію.

Як функціонує операція

Ця операція використовує різні домени як цільові сторінки, що не так вже й незвично серед спамерів, але варто зазначити, що багато доменів починаються з com_. Цей префікс ускладнює пересічному користувачеві з першого погляду визначити, чи домен підроблений. Наприклад, посилання foxnews.com_ab12.net/new_diet.php виглядає так, ніби це URL-адреса foxnews.com, коли це фактично URL-адреса com_ab12.net.

Спамери реєструють ці сайти зі швидкістю двадцять і більше на день.

Хоча повідомлення можуть містити фактичну URL-адресу цільової сторінки, багато з них покладаються на проміжне посилання. Це може означати посилання від скорочувача URL-адрес, такого як bit.ly, або посилання на веб-сайт, який перенаправляє користувача на цільову сторінку. Група має понад 4 300 компрометованих веб-серверів, які використовуються для перенаправлення користувачів на основні цільові сторінки, зазначив Cloudmark.

Структура партнерської програми

Com Spammer побудований як партнерська програма, з ярусами людей, присвячених конкретним завданням. Перший рівень має незалежних спамерів, які розсилають спам-повідомлення, часто через ботнети. Наступний рівень включає осіб, відповідальних за налаштування та підтримку цільових сторінок, які можуть виглядати як сайти новин чи журналів. Третій рівень складається з людей, завдання яких - витягти якомога більше грошей з жертв, які відвідують цільові сторінки.

"Схоже, хтось зібрав слабкість у монетизації цього спаму. Ми сподіваємось, що люди зараз це більше усвідомлюють і не стають жертвою цього", - сказала Конвей.

SecurityWatch щомісяця працюватиме з Cloudmark для аналізу більшої кількості спам-фішинг-кампаній. Наступного місяця ми розглядаємо мобільний спам.