Главная страница » Индикаторы компрометации
0
5 месяцев
Индикаторы компрометации

Кампания GHOST STADIUM: 6113 фишинговых доменов нацелились на болельщиков чемпионата мира 2026

Кампания GHOST STADIUM: 6113 фишинговых доменов нацелились на болельщиков чемпионата мира 2026

За полтора года до старта чемпионата мира по футболу 2026 года, который впервые пройдёт на территории трёх стран - США, Канады и Мексики, - специалисты по информационной безопасности зафиксировали масштабную подготовку к атакам на болельщиков. Речь идёт о кампании GHOST STADIUM, в рамках которой злоумышленники развернули более шести тысяч фишинговых доменов. Эти ресурсы маскируются под официальные порталы ФИФА, стриминговые сервисы и букмекерские платформы. Цель атакующих - кража персональных данных, платёжной информации и денег фанатов, планирующих приобрести билеты на матчи.

Описание

Эксперты компании Validin провели собственное исследование на основе открытых индикаторов компрометации, опубликованных ранее аналитиками Group-IB. Исходные данные содержали информацию о фишинг-ките GHOST STADIUM - наборе инструментов для создания поддельных сайтов. Однако Validin существенно расширил базу обнаруженной инфраструктуры. Согласно их оценкам, на момент анализа оставались активными 3079 доменов из общего пула в 6113 подозрительных адресов. Это означает, что почти половина вредоносных ресурсов продолжает работать и представлять угрозу для посетителей.

Кампания затрагивает самую широкую аудиторию, но особый акцент сделан на жителей Китая и Индии. Значительная часть поддельных ресурсов ориентирована именно на пользователей из этих стран. Примечательно, что официальные телевизионные контракты на трансляцию турнира с Китаем и Индией были заключены ФИФА совсем недавно. Таким образом, злоумышленники эксплуатируют временной зазор между новостями о правах на показ и реальным запуском официальных сервисов. Болельщики из данных регионов, ожидающие возможности купить билеты или посмотреть матчи онлайн, становятся особенно уязвимыми.

В ходе анализа специалисты применили несколько методов поиска, начиная с pivoting по сетевым признакам. Исходной точкой послужил репрезентативный домен fifa-ticket-26[.]com из отчёта. Как отметили авторы первоначального исследования, большинство фишинговых страниц были побайтово идентичны. Опираясь на этот факт, эксперты Validin использовали два ключевых признака для расширения выборки: заголовок HTML и хеш фавикона. Оба признака позволили получить перекрывающиеся кластеры доменов, обслуживающих одинаковое вредоносное содержимое.

В HTML-коде фишингового кита была обнаружена уникальная строка "FIFA World Cup 2026TOfficial Hospitality". Комбинация года "2026" и следующей за ним буквы "T" без пробела является аномалией, не встречающейся на легитимных сайтах ФИФА. Вторая строка "Experience the best of the World Cup with premium tickets food &drinklounge entry and more!" также содержит искажённую маркетинговую фразу, опечатки и некорректное форматирование. Обе строки служат надёжным отпечатком фишинг-кита. Запуск YARA-правила по истории ответов Validin дал совпадения со всеми доменами, которые использовали одинаковый путь перенаправления с главной страницы: /en/tournaments/mens/worldcup/canadamexicousa2026. Повторное использование одного и того же пути на несвязанных доменах однозначно свидетельствует о централизованном развёртывании кита.

Дополнительным инструментом верификации послужили комментарии разработчиков на китайском языке, оставленные в JavaScript-коде модуля перевода Google Translate. Фразы, означающие в переводе "функция инициализации Google Translate" и "язык сайта по умолчанию", обнаружены во множестве образцов. Эти следы, хотя и не являются достаточными для однозначного обвинения конкретных доменов, позволяют значительно сузить круг поиска и подтверждают предположения Group-IB о происхождении угрозы из китайскоязычной среды.

Поиск по самому пути как по неизменному элементу инфраструктуры оказался чрезвычайно продуктивным. Основная вариация /en/tournaments/mens/worldcup/canadamexicousa2026 присутствовала примерно на 600 доменах. Дополнительный вариант с расширением .html дал ещё 22 адреса. Среди них оказались как очевидные подделки вроде worldcupticket[.]vip, так и домены без явной привязки к футбольной тематике. Такая стратегия усложняет обнаружение на основе простого анализа имён, заставляя исследователей опираться на поведенческие сигналы.

Большинство активных фишинговых сайтов используют Cloudflare в качестве обратного прокси. Это позволяет маскировать исходную серверную инфраструктуру и затрудняет прямую IP-идентификацию. Финальным этапом стало переборное выявление похожих (lookalike) доменов с помощью регулярных выражений. Сначала применялись шаблоны для типичных паттернов кампании: домены, начинающиеся с "fifa-", заканчивающиеся на "-fifa", содержащие сочетания "world", "cup", "ticket", "hospitality", а также варианты с заменой символов. Затем использовалось более сложное выражение, охватывающее домены с префиксами, суффиксами и заменой букв на цифры. Этот метод выявил 5649 доменов. После обогащения данными о резольвинге DNS для фильтрации активных ресурсов осталось около трёх тысяч сайтов, обслуживающих контент в настоящий момент.

С точки зрения специалистов по защите информации, наиболее полезными индикаторами для обнаружения угрозы являются аномальная строка "2026TOfficial", искажённая маркетинговая фраза из второй YARA-строки, фиксированный путь /en/tournaments/mens/worldcup/canadamexicousa2026 и его вариант с .html, а также китайские комментарии в JavaScript. DNS-изменения на недавно зарегистрированных доменах, соответствующих шаблонам ФИФА, также служат надёжным сигналом. Комбинирование этих признаков позволяет отслеживать не только уже развёрнутые активные киты, но и подготовленную инфраструктуру до её активации.

Кампания GHOST STADIUM демонстрирует классическую модель фишинга нового поколения: массовая регистрация доменов, выборочная активация, повторное использование кода кита, сокрытие серверов за CDN и быстрая смена адресов по мере обнаружения. Болельщикам, планирующим приобретение билетов на чемпионат мира 2026 года, следует проявлять предельную осторожность, проверять URL вручную и переходить только по ссылкам с официального сайта ФИФА. Любые сторонние ресурсы, предлагающие билеты по подозрительно низким ценам или требующие предоплаты с помощью криптовалют, с высокой вероятностью являются мошенническими.

Индикаторы компрометации

Сдаётся рекламное место
Комментарии: 0
Похожие записи
0
24.05.2025
Индикаторы компрометации

FlowerStorm: Новая платформа для фишинга атакует Microsoft 365, обходя MFA

phishing
Исследователи кибербезопасности обнаружили активность новой платформы для организации фишинговых атак под названием FlowerStorm. Этот сервис, работающий по модели "фишинг как услуга" (PhaaS), использует
0
15.06.2026
Индикаторы компрометации

Фишинговая инфраструктура ЧМ-2026: клоны сайтов, скимминг карт и обход OTP нацелены на болельщиков

phishing
В преддверии чемпионата мира по футболу 2026 года, стартующего 11 июня, специалисты по информационной безопасности выявили крупномасштабную мошенническую операцию.
0
29.07.2025
Индикаторы компрометации

Кибермошенники атакуют фанатов и команды на Гран-при Бельгии 2025

phishing
Гран-при Бельгии, который состоялся 27 июля 2025 года на легендарном автодроме Спа-Франкоршамп, привлек не только миллионы болельщиков, но и внимание киберпреступников.