Активная кампания ложных предупреждений о проблемах с безопасностью работает по одной схеме с двумя сменными приманками. Первая выглядит как сообщение крупной социальной сети об отключении аккаунта: пользователю сообщают, что на обжалование решения осталось 180 дней. Вторая маскируется под предупреждение известной поисковой системы об обнаруженном вирусе. Обе ведут к общему финалу - поддельной блокировке браузера от имени популярного антивирусного бренда с требованием позвонить на бесплатную линию поддержки. Расчёт сделан на домашних пользователей и небольшие организации, где нет своей службы поддержки.
Описание
Обман построен так, что безопасного выхода у жертвы нет. Кнопки "Обжаловать" и "Игнорировать" нарисованы в фирменном синем цвете и мигают, но нажатие на любую вызывает один и тот же обработчик. Сразу после клика экран на секунду вспыхивает чёрно-белыми полосами, а затем страница разворачивается на весь экран. Перед человеком появляется поддельная панель безопасности операционной системы: защиты перечёркнуты, поверх висит баннер с требованием позвонить в службу поддержки. Синтетический голос за кадром повторяет, что перезагружать компьютер нельзя. Ни форм входа, ни полей для данных карты на страницах нет. Деньги вытягивают уже по телефону, через голосовой фишинг (vishing - обзвон жертв от имени службы поддержки).
По данным проведённого технического разбора, ссылки в этой схеме несут идентификаторы платных рекламных кампаний в социальных сетях: номера групп объявлений, площадку размещения и метку отслеживания переходов. Набор таких меток говорит об оплаченном продвижении, а не о массовой рассылке или поисковой оптимизации. Переходы принимал домен-перенаправление, зарегистрированный в июне 2026 года. Позже его перенастроили на посторонний легитимный блог - это похоже на сокрытие трафика. Основную доставку обеспечивают дешёвые облачные хранилища файлов: как минимум четыре адреса отдавали визуально одинаковое содержимое. Пользователь видит в строке браузера служебный адрес хранилища, и подменять известный домен злоумышленникам не требуется - достаточно подмены содержания.
Удержать жертву на странице помогает грубая, но действенная механика. При загрузке страница забирает экран в полноэкранный режим и блокирует клавишу выхода, поэтому привычный способ закрыть окно не работает. Правая кнопка мыши, просмотр кода страницы и сохранение файла тоже отключены. Курсор прячется после первого клика, усиливая впечатление, что система сломана. Во время проверки выбраться из этой ловушки удалось только полным завершением процесса браузера.
Оба образца - клоны одного шаблона, снятые программой для зеркалирования сайтов. Общий комментарий в коде указывает на один исходный адрес и дату 17 марта 2025 года: набор живёт больше года. При сборке копии меняются заголовок страницы и подставляемый номер телефона. Вторая приманка с предупреждением о вирусе встроена в тот же шаблон и включается параметром в адресе. Проверка показала: она подменяет заголовок, текст, значок и кнопку, но ведёт на тот же экран блокировки и ту же линию поддержки. Более старый образец жёстко прописывал дату мнимой блокировки аккаунта. Новый берёт текущую дату из внешнего сервиса, чтобы предупреждение не выглядело устаревшим.
Единственный запутанный фрагмент кода должен был получать номер телефона с внешнего адреса и менять его от кампании к кампании. Адрес в сборке не существует, поэтому скрипт молча подставляет жёстко заданный номер. На страницах также работают счётчики посещаемости и карта кликов - оператор измеряет вовлечённость жертв так же, как это делает обычный рекламодатель. Идентификатор проекта слежки совпадает в обе эпохи, от домена-перенаправления до облачных хранилищ. Это самое веское свидетельство того, что обе части кампании связаны с одним оператором: сменить идентификатор означало бы потерять накопленную статистику. Стиль комментариев и избыточные проверки в коде намекают на разработку с помощью больших языковых моделей, но доказательством это не служит.
Прямого взлома здесь нет, и потери не приходят автоматически. Расплата наступает после звонка: жертву убеждают заплатить за "разблокировку", установить программу удалённого доступа или продиктовать данные карты. Отдельная опасность - сам звонок, поскольку абонент попадает в базу активных контактов и получает новые попытки обмана. Пользователям стоит закрывать окна с требованиями позвонить, не набирать номера из всплывающих предупреждений и завершать работу браузера через системный диспетчер задач. Помогают блокировщики рекламы, свежая версия браузера и привычка проверять любые "предупреждения о вирусе" через официальный сайт производителя. Компаниям имеет смысл напоминать сотрудникам, что служба поддержки не звонит первой и не просит установить что-либо по телефону.
Индикаторы компрометации
