Специалисты по кибербезопасности обнаружили и заблокировали масштабную кампанию по созданию поддельных учетных записей с использованием кастомной почтовой инфраструктуры. Злоумышленники зарегистрировали 330 уникальных доменов исключительно для обхода систем защиты, что демонстрирует эволюцию методов создания мошеннической инфраструктуры.
Описание
В ходе расследования выяснилось, что злоумышленники пытались зарегистрировать десятки тысяч аккаунтов через ботов, автоматизирующих процесс регистрации. Для этого использовалась модифицированная версия браузера Chrome с антидетект-технологиями, включая рандомизацию canvas. Однако автоматизированная активность оставила характерные артефакты: несоответствия в движениях мыши, аномальные выводы canvas и несовместимости GPU, выявленные через побочные эффекты фингерпринтинга.
Особенностью этой кампании стало не только использование автоматизации, но и развертывание собственной почтовой инфраструктуры. Все 330 доменов были созданы в период с 16 августа по 8 сентября 2025 года и привязаны к почтовому серверу на LiteSpeed. Изначально неправильная конфигурация сервера позволила исследователям подтвердить масштабы атаки и методы работы злоумышленников.
Владея собственной почтовой инфраструктурой, атакующие могли маскировать домены под легитимные малые бизнесы или личные проекты. Следовательно, эти домены не попадали в публичные списки одноразовых почтовых сервисов и блоклисты. Такой подход значительно усложняет обнаружение, поскольку с внешней стороны кастомные домены неотличимы от настоящих регистраций.
Создание фейковых аккаунтов представляет серьезную угрозу для бизнеса. Мошенники используют такие аккаунты как расходную инфраструктуру для рассылки спама, обхода реферальных программ, отмывания украденных учетных данных и формирования доверия для фишинговых схем. В больших масштабах это может перегружать бизнес-системы, искажать аналитику и подрывать доверие пользователей.
Данный случай наглядно показывает недостаточность статических блоклистов как единственной меры защиты. Злоумышленники успешно обходят такие списки двумя способами: используя почтовые сервисы доверенных провайдеров типа Gmail или Outlook, которые нельзя блокировать массово, либо регистрируя собственные домены, как произошло в этой кампании.
Эффективная защита от создания фейковых аккаунтов требует многоуровневого подхода, выходящего за рамки статических индикаторов. В промышленных масштабах необходимо комбинировать несколько методов защиты. Сигналы фингерпринтинга помогают выявлять артефакты антидетект-систем и аппаратные несоответствия. Поведенческий анализ позволяет отслеживать автоматизированные процессы регистрации и нереалистичные паттерны взаимодействия. Обнаружение прокси и инфраструктуры связывает трафик с сетями злоупотреблений. Анализ почтовых доменов оценивает новые домены с низкой репутацией независимо от их присутствия в публичных списках.
Совместное применение этих слоев защиты создает устойчивую систему. Вместо зависимости на единичные сигналы, многоуровневая защита позволяет выявлять кастомную инфраструктуру, обнаруживать артефакты автоматизации и останавливать злоумышленников до того, как фейковые аккаунты закрепятся в системе. Современные атаки требуют комплексного подхода к безопасности, сочетающего технические и поведенческие методы обнаружения.
Этот инцидент подчеркивает важность проактивного мониторинга и анализа нестандартных угроз. Киберпреступники постоянно адаптируют свои методы, создавая специализированную инфраструктуру для обхода традиционных систем защиты. Следовательно, организациям необходимо инвестировать в современные системы обнаружения, способные анализировать не только известные индикаторы компрометации, но и аномальную активность в целом.
Индикаторы компрометации
Domains
- ainchemails.store
- alderstone.store
- alevra.biz
- alphacore.biz
- altaris.store
- altavero.store
- alturabiz.biz
- alturion.biz
- alverton.store
- anadolugroup.biz
- ankatech.biz
- arventa.biz
- ashbournevale.store
- ashbury.store
- asilnet.biz
- astrego.biz
- aurevix.store
- aventrix.biz
- axenor.biz
- axenor.store
- axiora.biz
- axtongroup.store
- beyazyol.biz
- birikim.biz
- bizfusion.biz
- blackford.store
- blockvia.store
- blueledger.store
- boldmark.biz
- boldstep.biz
- braveey.store
- bravento.biz
- briarcliff.store
- brightleap.biz
- brightora.biz
- brightweld.store
- briventa.biz
- brontiva.biz
- capitalpoint.biz
- certivia.store
- cinchemails.store
- circuitra.store
- clearhaven.biz
- cloudence.store
- clovira.biz
- clyrion.biz
- clyron.store
- clyvera.biz
- codevia.store
- codezap.biz
- cognira.store
- coltris.store
- corelnex.store
- coreviax.store
- corptora.store
- corvantis.store
- corvexis.store
- crafttide.store
- credaro.store
- credovia.store
- crestmore.store
- cresventa.store
- crosvia.store
- crownvale.store
- cryonix.biz
- cyberlinq.store
- darlie.store
- dataforgex.store
- datavero.store
- datiora.biz
- datiora.store
- digivesta.store
- domerra.store
- domivex.store
- dorantis.biz
- doruktech.biz
- doverton.store
- dravion.biz
- dravorex.biz
- dunleigh.store
- dynetra.biz
- eastminster.store
- einchemails.store
- eldermore.store
- elvora.biz
- equinoxa.store
- eryvon.biz
- evertonic.store
- evolventa.store
- exovian.biz
- fairbrooke.biz
- fairmontic.store
- feltrion.biz
- felvora.biz
- fervia.store
- finbiznet.biz
- finchemails.store
- fintravo.store
- fintrix.store
- firmalix.store
- firmantis.store
- flowmark.biz
- futurenest.biz
- fyntriva.biz
- fyntrix.biz
- fyrox.store
- glaventa.biz
- globantis.biz
- globantis.store
- gloventa.store
- granford.store
- granitec.store
- granitefield.biz
- gravisio.store
- grenton.biz
- gridlocke.store
- halberg.store
- harlington.store
- harperston.store
- hedefler.biz
- hexablend.store
- hexora.biz
- hexorvia.biz
- highlandic.store
- hitcornika.biz
- hukinge.store
- infranova.store
- intervexa.store
- interviax.store
- jinchemails.store
- jukengi.store
- jukinge.store
- juravia.store
- kalegroup.biz
- kendrix.biz
- kensworth.store
- keyvora.biz
- kiklume.store
- kimderdiki.biz
- kinchemails.store
- kingshaven.store
- kingsmere.store
- kingsvale.store
- klyptus.biz
- klyvante.biz
- klyvera.biz
- kryvent.biz
- kyntravo.biz
- kyroa.store
- kytrion.biz
- kyvera.biz
- laryvo.biz
- legatora.store
- lexindus.store
- linchemails.store
- loomflow.store
- lorix.store
- lorvex.biz
- loryvia.biz
- lucivon.biz
- luxtrion.biz
- lyvantis.biz
- magnaris.store
- magnora.biz
- marketvibe.biz
- marketzap.biz
- maxrion.biz
- meriona.biz
- meriton.store
- millhaven.store
- minchemails.store
- miravon.biz
- montcrest.store
- montorra.biz
- myntis.store
- myntivar.biz
- myntora.biz
- myronex.biz
- neurovia.biz
- nexabiz.biz
- nexiron.biz
- nexuswave.biz
- nexverra.store
- northcrest.store
- northdale.store
- northminster.store
- northvale.biz
- novabiz.biz
- novizo.biz
- noxenta.biz
- oakleigh.store
- oakmere.store
- oceansky.biz
- olinge.store
- olyvante.biz
- omniglobe.store
- omnilis.store
- omnitor.biz
- omnivera.biz
- omvex.biz
- omvex.store
- omviora.biz
- optimobiz.biz
- optiron.biz
- optivex.biz
- optivex.store
- optivora.biz
- orvelta.biz
- orvenix.biz
- oryvia.biz
- ovrix.store
- oxio.store
- oxirax.store
- peakfold.store
- peakpoint.biz
- pinchemails.store
- plenxor.biz
- plorantis.biz
- primebiz.biz
- primetra.store
- primetrax.store
- prionix.store
- pryva.store
- pryvista.biz
- pyloria.biz
- pylorix.biz
- qenzor.biz
- qeyra.store
- qryvion.biz
- ravencrest.store
- redmont.store
- ridgefield.store
- ridgehaven.store
- ridgepoint.biz
- ridgewell.store
- risepoint.biz
- risevibe.biz
- rovexa.biz
- savorent.biz
- servebiz.biz
- shopease.biz
- silverbrook.store
- smartobiz.biz
- smartpeak.biz
- softpeak.biz
- solidora.biz
- solvira.biz
- statora.store
- stonewell.store
- strathmore.store
- stratmore.store
- stratovix.store
- stravica.biz
- stravion.biz
- strivaro.store
- strovian.biz
- summitline.biz
- summittrust.store
- swifttrend.biz
- sylvora.biz
- techbizgroup.biz
- techspire.biz
- techthrive.biz
- tinchemails.store
- tkilima.online
- topgoal.biz
- toptrust.biz
- torvantis.biz
- torvento.biz
- transico.store
- trelyon.biz
- trevia.biz
- trevox.store
- treya.store
- trivora.biz
- trovantis.biz
- truetrend.biz
- truevale.biz
- trustgate.biz
- trustovia.store
- trustvia.store
- tulvora.biz
- uinchemails.store
- ulyvora.biz
- umutlar.biz
- unitara.store
- unitrex.store
- univesta.biz
- urbanconsult.biz
- urbanpeak.biz
- urbantrade.biz
- ustravon.biz
- valentra.biz
- valorcrest.biz
- velantis.biz
- veliona.biz
- ventaris.biz
- veradix.store
- veylor.biz
- veyora.biz
- vinchemails.store
- virtelon.store
- visionpartners.biz
- vitalpath.biz
- voltrix.biz
- westbridge.store
- westgrove.store
- wetherby.store
- xerovian.biz
- xonitra.biz
- xyden.store
- xyntra.store
- yeniufuk.biz
- yinchemails.store
- zaferyolu.biz
- zelixo.biz
- zenithra.biz
- zenqora.biz
- zentivo.biz
- zentrium.store
- zerico.store
- zerla.store
- zerya.store
- zonelush.store
- zuhanga.store
- zyntravo.biz
- zyphobiz.biz
- zyrantis.biz
- zyricon.biz
- zyvantis.biz
