В рамках независимого расследования эксперт по кибербезопасности выявил около 50 поддельных банковских и инвестиционных платформ, использующих фиктивные регуляторные лицензии и массово копирующие контент. Методология включала анализ предупреждений официальных финансовых надзорных органов и применение техник открытого поиска данных (OSINT).
Описание
Отправной точкой послужило официальное уведомление Федерального органа финансового надзора Германии (BaFin) о подозрительном домене fenririum[.]com. На сайте были обнаружены шаблонные восторженные отзывы, характерные для мошеннических операций. Путем использования специальных поисковых запросов (Google Dorking) с фрагментами этих текстов исследователь выявил другие домены, использующие идентичный контент. Это позволило быстро расширить список подозрительных ресурсов по принципу снежного кома.
В процессе изучения сети мошеннических сайтов была обнаружена систематическая подделка документов регуляторов. На множестве платформ присутствовали упоминания лицензий от организации FINAEU, представленной как европейский финансовый регулятор. При этом BaFin ещё более года назад публично предупредил, что FINAEU является фиктивным органом, не имеющим правового статуса. Для дальнейшего поиска использовался специализированный запрос inurl:”finaeu”, который выявил дополнительные fraudulent-домены в сфере банкинга и криптоинвестиций.
Особого внимания заслуживает домен refas-to[.]com, который ссылался на другую вымышленную регулирующую инстанцию - CARFIS, якобы канадский финансовый надзорный орган. Анализ показал, что хотя часть доменов уже была заблокирована или внесена в чёрные списки, значительное число сайтов остаются активными и продолжают привлекать жертв.
Эксперт отмечает, что злоумышленники масштабируют данную схему, используя тиражирование контента, поддельные лицензии и механизмы доверия к псевдорегуляторам. Всё это позволяет создавать внешне правдоподобные платформы, которые сложно отличить от legitimate-ресурсов.
Исследователь подчёркивает, что обнаруженная сеть, вероятно, включает ещё десятки активных доменов, и призывает коллег участвовать в поиске, соблюдая меры предосторожности. Результаты можно передать через социальные сети X (Twitter) или Mastodon. Данный кейс демонстрирует, насколько эффективно даже ограниченное по времени исследование с применением OSINT-методов может противостоять организованному мошенничеству в цифровой среде.
Индикаторы компрометации
Domains
- aurum-fix-corp.com
- avetrade.co
- avotrend.com
- avotrend.org
- bankwiz.trade
- bncllevel.com
- bull-verse.net
- canadatokentrd.com
- capiumlimited.com
- capium-ltdlimited.com
- corporationshouseamb.com
- emeral-ltdtrade.com
- fenririum.com
- finaeu.com
- finaeu.org
- finquickly.com
- fondexglobaltd.com
- ghostgloballtd.com
- gi-black.com
- glevorcapital.com
- gordianscorporate.ltd
- heiz-analytics.com
- hyper-trades.pro
- interactive-proltd.com
- iron-bulls.org
- iron-bulls.pro
- kings-alliance.com
- lexiumlimited.com
- methtradehub.com
- moneyfarmltd.com
- morvath.com
- nomiagrouplimited.com
- perinvgrp.com
- primewealthltd.com
- rdpdeals.co
- refasto.com
- refas-to.com
- robobrokerltd.com
- sf-trd.ltd
- silver-bitglobal.com
- sterlingandroyce.com
- swissflowgroup.com
- swissgi.com
- temstarlimited.com
- volarentcapitaltd.com
- winstonmartin.com
