С конца марта 2026 года в Соединённых Штатах наблюдается масштабная фишинговая активность. Злоумышленники имитируют официальные веб-порталы правительств штатов и местных органов, выдающих водительские удостоверения. Атаки зафиксированы как минимум в 23 юрисдикциях. Основной целью становится кража персональных данных и учётных записей граждан.
Описание
Оператор использует единый шаблон для доменных имён. Адреса строятся по схеме: название штата или агентства, далее точка, домен верхнего уровня и дефис со случайным набором символов. В качестве зон применяются .one, .shop, .cc, .help и .click. Такая структура позволяет маскировать подделку под легитимные ресурсы. Пользователи могут не заметить отличия, особенно если ссылка приходит из электронного письма или сообщения.
Регистрация доменов производилась волнами, начиная с 31 марта. Исследователи подтвердили существование нескольких сотен адресов, объединённых в один кластер. Из них десятки были проверены вручную. На момент анализа все они оставались активными и перенаправляли жертв на поддельные страницы входа.
Инфраструктура кампании построена с использованием двух уровней. Домены в зоне .one размещены на стороннем хостинг-сервисе. Этот сервис выступает в роли прокси и скрывает реальный исходный сервер. Параллельный набор адресов в зонах .click и .help работает напрямую с сервера 47.236.11[.]46. Подобное разделение затрудняет блокировку и анализ - даже при отключении одного пула второй продолжает функционировать.
Принадлежность всех доменов одному оператору доказывается несколькими признаками. Во-первых, записи WHOIS содержат повторяющиеся элементы: одинаковые контактные данные и почтовые адреса. Во-вторых, на части страниц был обнаружен общий sitekey (идентификатор сайта) для сервиса Cloudflare Turnstile. Этот сервис используется для проверки пользователей и защиты от ботов. Как показал анализ зарегистрированных доменов, идентификатор совпадает у десятков адресов. В-третьих, все эти ресурсы используют один nameserver - dyna-ns[.]net. Этот сервер, в свою очередь, связан с автономной системой AS135392, что дополнительно подтверждает единого владельца.
Фишинговая схема нацелена на получение логинов и паролей от государственных порталов. Например, поддельные страницы могут имитировать вход в системы оплаты штрафов, продления водительских прав или налогообложения. Жертва, вводящая свои данные, передаёт их злоумышленникам. В дальнейшем украденные учётные данные могут использоваться для несанкционированного доступа к личным кабинетам граждан, а также для подачи ложных заявлений или получения государственных льгот.
Особую опасность представляет использование зоны .gov в доменном имени. Хотя настоящие .gov-адреса находятся под строгим контролем, в фишинговых ссылках оператор просто добавляет слово .gov как часть поддомена, а настоящий домен верхнего уровня оказывается другим. Например, адрес может выглядеть как state.gov-xyz[.]one. Пользователь, не вникающий в структуру URL, может принять его за официальный.
Масштаб кампании указывает на хорошо организованную группу. Волновая регистрация сотен доменов за короткий срок требует автоматизации и значительных ресурсов. Учитывая, что атаки продолжаются до сих пор, можно прогнозировать расширение географии. Штаты, чьи порталы уже подделаны, подвергаются повышенному риску для своих граждан.
Для защиты от подобных угроз специалисты рекомендуют проверять адресную строку браузера перед вводом данных. Любое несоответствие в написании или нестандартное окончание домена должно насторожить. Государственным органам следует размещать предупреждения на своих официальных сайтах и использовать систему DMARC для защиты от подделки электронной почты. Частным пользователям стоит включить двухфакторную аутентификацию на своих аккаунтах. К сожалению, полная ликвидация угрозы возможна только после блокировки провайдерами хостинга и регистраторами всех задействованных доменов. На данный момент основная нагрузка по выявлению фишинговых сайтов ложится на службы кибербезопасности штатов.
Индикаторы компрометации
IPv4
- 47.236.11.46
Domain
- expresslane.gov-onu.click
- gov-afyq.one
- gov-ahkp.one
- gov-aotg.one
- gov-apum.one
- gov-asnx.one
- gov-blca.one
- gov-bvf.one
- gov-bwni.one
- gov-byec.one
- gov-bynt.one
- gov-caob.one
- gov-cblf.one
- gov-cioe.one
- gov-cjak.one
- gov-ckaid.one
- gov-coih.one
- gov-conj.one
- gov-cqpv.one
- gov-cqv.one
- gov-cvbk.one
- gov-cwq.one
- gov-davw.one
- gov-dfgk.one
- gov-dfkg.one
- gov-dlrf.one
- gov-dwgq.one
- gov-dxmq.one
- gov-eghp.one
- gov-egwu.one
- gov-eica.one
- gov-eilu.one
- gov-emsx.one
- gov-eoub.one
- gov-esoa.one
- gov-ezv.one
- gov-fdao.one
- gov-fkpa.one
- gov-flgu.one
- gov-fvox.one
- gov-fzhn.one
- gov-fzu.one
- gov-gbjx.one
- gov-ghmu.one
- gov-gmsr.one
- gov-gpdr.one
- gov-gqpw.one
- gov-gqy.one
- gov-guo.one
- gov-gwhb.one
- gov-gyz.one
- gov-hbcp.one
- gov-hfad.one
- gov-hgfy.one
- gov-hglm.one
- gov-hidz.one
- gov-hja.help
- gov-hjb.help
- gov-hjc.help
- gov-hjd.help
- gov-hje.help
- gov-hjf.help
- gov-hjg.help
- gov-hjh.help
- gov-hji.help
- gov-hjl.help
- gov-hjo.help
- gov-hjp.help
- gov-hjr.help
- gov-hjs.help
- gov-hjt.help
- gov-hju.help
- gov-hjv.help
- gov-hjx.help
- gov-hjy.help
- gov-hjz.help
- gov-hna.click
- gov-hnd.click
- gov-hne.click
- gov-hnf.click
- gov-hni.click
- gov-hno.click
- gov-hnp.click
- gov-hnq.click
- gov-hnr.click
- gov-hns.click
- gov-hnt.click
- gov-hnu.click
- gov-hnw.click
- gov-hny.click
- gov-homn.one
- gov-hope.one
- gov-hotr.one
- gov-hpf.one
- gov-hted.one
- gov-hwic.one
- gov-hza.help
- gov-hze.help
- gov-hzq.help
- gov-hzs.help
- gov-hzw.help
- gov-ible.one
- gov-icqa.one
- gov-icrs.one
- gov-ighf.one
- gov-imdk.one
- gov-iopb.one
- gov-iqtj.one
- gov-jdul.one
- gov-jios.one
- gov-jlmi.one
- gov-jrmg.one
- gov-jrxy.one
- gov-jxwh.one
- gov-jyab.one
- gov-jzuw.one
- gov-kasu.one
- gov-kdpc.one
- gov-kgal.one
- gov-kjis.one
- gov-knpm.one
- gov-lab.help
- gov-lac.help
- gov-lam.help
- gov-lan.help
- gov-laty.one
- gov-lav.help
- gov-lax.help
- gov-ldpy.one
- gov-lgi.one
- gov-lgrs.one
- gov-lgud.one
- gov-lhq.cc
- gov-lqa.one
- gov-lqjc.one
- gov-lsa.help
- gov-lsd.help
- gov-lse.help
- gov-lsf.help
- gov-lsg.help
- gov-lsi.help
- gov-lso.help
- gov-lsp.help
- gov-lsq.help
- gov-lsr.help
- gov-lst.help
- gov-lsu.help
- gov-lsw.help
- gov-lsy.help
- gov-lth.one
- gov-lxhe.one
- gov-maq.one
- gov-mbh.click
- gov-mbi.click
- gov-mbj.click
- gov-mbk.click
- gov-mbp.click
- gov-mbr.click
- gov-mbs.click
- gov-mbu.click
- gov-mbv.click
- gov-mbx.click
- gov-mbz.click
- gov-mdqg.one
- gov-mdve.one
- gov-micu.one
- gov-mivk.one
- gov-mnh.click
- gov-mnj.click
- gov-mnp.click
- gov-mnx.click
- gov-mny.click
- gov-mtyj.one
- gov-mujr.one
- gov-mvd.click
- gov-mve.click
- gov-mvg.click
- gov-mvi.click
- gov-mvj.click
- gov-mvo.click
- gov-mvp.click
- gov-mvq.click
- gov-mvr.click
- gov-mvs.click
- gov-mvw.click
- gov-nbfu.one
- gov-nefi.one
- gov-nepj.one
- gov-ngzl.one
- gov-nhlb.one
- gov-njbt.one
- gov-ntyg.one
- gov-nutm.one
- gov-nvmd.one
- gov-ohwn.one
- gov-ona.click
- gov-onb.click
- gov-onc.click
- gov-ond.click
- gov-one.click
- gov-onf.click
- gov-ong.click
- gov-onh.click
- gov-oni.click
- gov-onj.click
- gov-onk.click
- gov-onm.click
- gov-onn.click
- gov-ono.click
- gov-onp.click
- gov-onq.click
- gov-onr.click
- gov-ons.click
- gov-ont.click
- gov-onu.click
- gov-onw.click
- gov-onx.click
- gov-ony.click
- gov-oqfp.one
- gov-otpz.one
- gov-ovdt.one
- gov-pbcj.one
- gov-pbrw.one
- gov-pca.click
- gov-pcf.click
- gov-pci.click
- gov-pco.click
- gov-pcp.click
- gov-pcs.click
- gov-pct.click
- gov-pcu.click
- gov-pcw.click
- gov-pcy.click
- gov-pixj.one
- gov-poa.click
- gov-pob.click
- gov-poc.click
- gov-pod.click
- gov-poe.click
- gov-pof.click
- gov-pog.click
- gov-poh.click
- gov-poi.click
- gov-poj.click
- gov-pok.click
- gov-pol.click
- gov-pom.click
- gov-pop.click
- gov-poq.click
- gov-pos.click
- gov-pot.click
- gov-pov.click
- gov-pow.click
- gov-pox.click
- gov-poy.click
- gov-poz.click
- gov-pqbc.one
- gov-pwtb.one
- gov-pxb.click
- gov-pxc.click
- gov-pxe.click
- gov-pxf.click
- gov-pxh.click
- gov-pxi.click
- gov-pxj.click
- gov-pxl.click
- gov-pxo.click
- gov-pxp.click
- gov-pxq.click
- gov-pxr.click
- gov-pxs.click
- gov-pxt.click
- gov-pxw.click
- gov-pxx.click
- gov-pxy.click
- gov-pxz.click
- gov-pza.click
- gov-pzc.click
- gov-pzd.click
- gov-pze.click
- gov-pzf.click
- gov-pzg.click
- gov-pzh.click
- gov-pzi.click
- gov-pzj.click
- gov-pzl.click
- gov-pzm.click
- gov-pzn.click
- gov-pzo.click
- gov-pzp.click
- gov-pzq.click
- gov-pzr.click
- gov-pzs.click
- gov-pzt.click
- gov-pzu.click
- gov-pzv.click
- gov-pzw.click
- gov-pzx.click
- gov-pzy.click
- gov-qali.one
- gov-qbjo.one
- gov-qcgp.one
- gov-qchu.one
- gov-qhwb.one
- gov-qjpd.one
- gov-qlx.one
- gov-qmct.one
- gov-qpxa.one
- gov-qrxh.one
- gov-quos.one
- gov-qwjl.one
- gov-qwvd.one
- gov-rbup.one
- gov-rkiw.one
- gov-rlkx.one
- gov-rpg.one
- gov-rpmy.one
- gov-rqpt.one
- gov-rtqo.one
- gov-runa.one
- gov-rvpe.one
- gov-rzlk.one
- gov-sehf.one
- gov-setf.one
- gov-sgq.one
- gov-shgl.one
- gov-snoq.one
- gov-sprw.one
- gov-spwy.one
- gov-swl.one
- gov-syai.one
- gov-tcjv.one
- gov-tiak.one
- gov-tpkj.one
- gov-tpy.one
- gov-tqja.one
- gov-tsej.one
- gov-tvoj.one
- gov-ubvi.one
- gov-uhdr.one
- gov-uhvo.one
- gov-ujck.one
- gov-ukcb.one
- gov-ukjg.one
- gov-uklg.one
- gov-umch.one
- gov-umns.one
- gov-unqi.one
- gov-uqls.one
- gov-uzj.one
- gov-vfba.one
- gov-vghi.one
- gov-vgne.one
- gov-vhr.one
- gov-vjhc.one
- gov-vmrl.one
- gov-vnfb.one
- gov-vpfr.one
- gov-vqfe.one
- gov-vxeq.one
- gov-vzaq.one
- gov-wbek.one
- gov-wchm.one
- gov-wcq.one
- gov-wer.one
- gov-weyf.one
- gov-wljt.one
- gov-wsgz.one
- gov-wsmd.one
- gov-wvk.one
- gov-xadg.one
- gov-xci.help
- gov-xdi.one
- gov-xfpo.one
- gov-xgpd.one
- gov-xpnj.one
- gov-xvno.one
- gov-yhoj.one
- gov-yoed.one
- gov-yoeh.one
- gov-yzfm.one
- gov-yztf.one
- gov-zaa.click
- gov-zad.click
- gov-zae.click
- gov-zaf.click
- gov-zah.click
- gov-zai.click
- gov-zaj.click
- gov-zal.click
- gov-zam.click
- gov-zan.click
- gov-zao.click
- gov-zaq.click
- gov-zar.click
- gov-zas.click
- gov-zat.click
- gov-zav.click
- gov-zaw.click
- gov-zax.click
- gov-zay.click
- gov-zce.click
- gov-zci.click
- gov-zco.click
- gov-zcp.click
- gov-zcq.click
- gov-zcr.click
- gov-zct.click
- gov-zcu.click
- gov-zcw.click
- gov-zcy.click
- gov-zgcd.one
- gov-zjgy.one
- gov-zjsq.one
- gov-zlda.one
- gov-zrhu.one
- gov-zsc.one
- gov-zse.click
- gov-zsq.click
- gov-zsr.click
- org-abc.cc
- org-abn.cc
- org-ajox.cc
- org-ancs.cc
- org-aro.cc
- org-avk.cc
- org-bor.cc
- org-bpa.cc
- org-bwcu.cc
- org-cbz.cc
- org-ccd.cc
- org-cehm.cc
- org-cfn.cc
- org-cgj.cc
- org-cmak.cc
- org-co.cc
- org-cqwa.cc
- org-cqwasdf.cc
- org-cqwga.cc
- org-crp.cc
- org-ctg.cc
- org-cyq.cc
- org-cyt.cc
- org-czok.cc
- org-ddqr.cc
- org-deny.cc
- org-dgzi.cc
- org-dmw.cc
- org-dqq.cc
- org-dsl.cc
- org-duw.cc
- org-dzi.cc
- org-dzl.cc
- org-dzo.cc
- org-eho.cc
- org-elh.cc
- org-etw.cc
- org-eyt.cc
- org-fabr.cc
- org-fcfr.cc
- org-fcgv.cc
- org-fezb.cc
- org-fie.cc
- org-fmo.cc
- org-folz.cc
- org-fpn.cc
- org-fprn.cc
- org-frwk.cc
- org-fte.cc
- org-fvzi.cc
- org-gak.cc
- org-gcf.cc
- org-gpyu.cc
- org-gyu.cc
- org-hce.cc
- org-hkn.cc
- org-hpl.cc
- org-htd.cc
- org-htj.cc
- org-hto.cc
- org-iac.cc
- org-ial.cc
- org-ibs.cc
- org-idy.cc
- org-ihz.cc
- org-ipt.cc
- org-irau.cc
- org-jch.cc
- org-jeai.cc
- org-jfnl.cc
- org-jia.cc
- org-jjt.cc
- org-jrgd.cc
- org-jyba.cc
- org-knsn.cc
- org-kqi.cc
- org-kra.cc
- org-ksb.cc
- org-kvmf.cc
- org-kxh.cc
- org-lejo.cc
- org-lhqz.cc
- org-lin.cc
- org-lit.cc
- org-lockqw.cc
- org-lpf.cc
- org-lpqy.cc
- org-lsh.cc
- org-lsqm.cc
- org-lvk.cc
- org-lxiv.cc
- org-lyi.cc
- org-mbc.cc
- org-mfc.cc
- org-mkq.cc
- org-mlv.cc
- org-mmud.cc
- org-mrz.cc
- org-mxh.cc
- org-nab.cc
- org-nkc.cc
- org-npd.cc
- org-nuk.cc
- org-oai.cc
- org-ode.cc
- org-odur.cc
- org-onm.cc
- org-opq.cc
- org-oqj.cc
- org-pid.cc
- org-plf.cc
- org-prux.cc
- org-pul.cc
- org-pzu.cc
- org-qaiz.cc
- org-qay.cc
- org-qcn.cc
- org-qnb.cc
- org-qslj.cc
- org-qusc.cc
- org-qvq.cc
- org-qzhq.cc
- org-rcds.cc
- org-rin.cc
- org-rqqj.cc
- org-rwf.cc
- org-rxy.cc
- org-sbz.cc
- org-sca.cc
- org-siv.cc
- org-sji.cc
- org-sou.cc
- org-sutc.cc
- org-sybt.cc
- org-tbb.cc
- org-tgy.cc
- org-tjqn.cc
- org-tkc.cc
- org-tod.cc
- org-tsz.cc
- org-tud.cc
- org-uaq.cc
- org-ubny.cc
- org-ukqi.cc
- org-uvm.cc
- org-uwf.cc
- org-uzq.cc
- org-vasd.cc
- org-vcm.cc
- org-vzyc.cc
- org-waca.cc
- org-wez.cc
- org-wfo.cc
- org-wfy.cc
- org-wpv.cc
- org-wsf.cc
- org-wsmm.cc
- org-wud.cc
- org-wvof.cc
- org-xac.cc
- org-xbi.cc
- org-xdc.cc
- org-xen.cc
- org-xfr.cc
- org-xkwq.cc
- org-xle.cc
- org-xmlc.cc
- org-xph.cc
- org-xpw.cc
- org-xys.cc
- org-ypwm.cc
- org-yvur.cc
- org-zdo.cc
- org-znqo.cc
- org-zskx.cc
- org-zvm.cc
