Кластер фишинговых страниц выдаёт себя за крупный сервис бронирования и другие площадки, обещая завершить оформление уже существующей брони конкретного гостя. Посетителю показывают заполненную бронь с названием отеля, датами проживания, ценой и данными гостя, а после ввода карты предлагают новые шаги проверки. Цель - личные данные гостей и платёжные реквизиты, а пострадать могут путешественники, которые бронируют жильё онлайн и узнают в подставной странице собственный заказ.
Описание
К моменту публикации отпечатки служебного сценария кластера встречались примерно в 1000 сканирований, что указывает на масштаб и повторное развёртывание набора на разных площадках. Один и тот же хеш основного сценария связывал многие развёртывания на разных площадках и визуальных вариантах, а внешне страницы делятся на две ветки. Кодовая база у шаблонов общая: одна ветка копирует интерфейс сервиса бронирования, вторая использует вывеску Best Hotel Reservation и делает акцент на конкретном отеле.
По данным Netcraft, страницы заранее заполнены сведениями о конкретной брони, включая название отеля, даты проживания, цену и контактные данные гостя. Это придаёт запросу вид финального подтверждения, особенно если страница предупреждает о риске потерять бронь или изменить условия поездки без выполнения дополнительных действий. Источник этих данных не установлен, и перенос деталей сам по себе не доказывает ни взлом сервиса бронирования, ни утечку из отеля или другого сервиса бронирования.
Сценарий собирает платёжные реквизиты и данные держателя карты, а перед отправкой проверяет номер на формат и контрольную сумму в браузере. Он требует 16 цифр, начало с 4 или 5 и проверку по алгоритму Луна, отсеивая заведомо неверные номера и поддельные тестовые шаблоны. Это не подтверждает, что карта активна или имеет средства, но говорит о нацеленности на правдоподобные данные, а не на любые случайные символы.
Сбор начинается ещё при загрузке страницы: она сообщает серверу, что посетитель дошёл до этапа брони, и начинает регулярный опрос, а не ждёт ввода карты. После ввода карты показывается финальный шаг, а дальше сервер управляет сценарием вплоть до запроса дополнительных сведений, сообщений и перенаправления на другой сайт. Отдельное состояние показывает проверку баланса, хотя из кода страницы не видно, что баланс счёта действительно запрашивают у владельца карты.
Заметная часть страниц связана с японскими отелями и ценами в иенах, но сценарий поддерживает множество языков и регионов за пределами Японии. Он пытается определить язык и регион по настройкам браузера, а домены регистрировали недавно и прятали за Cloudflare, что ограничивает обзор исходной инфраструктуры. Имена подбирали из туристических слов, а маскировку переносили в содержимое страницы, поэтому проверка только по адресу домена сама по себе недостаточна.
К 20 октября появились обновлённые версии набора в обеих ветках, добавившие поддержку PayPal, более дробные шаги подтверждения и сбор сведений о языке браузера. Обновления вышли не в одном статичном шаблоне, а в общем фреймворке, поэтому дополнительные платёжные методы или проверки предположительно появятся позже в новых версиях. Возможность передавать настоящие 3-D Secure-запросы не подтверждена, а происхождение персонализированных сведений остаётся неизвестным, как и дальнейшая судьба собранных записей.
Индикаторы компрометации
