Новая волна фишинговых атак, нацеленных на пользователей Booking.com, демонстрирует изощрённые методы мошенников, использующих уязвимости официальных коммуникационных каналов платформы. Исследование Google Threat Intelligence (GTI) раскрыло двухуровневую инфраструктуру атаки, где домены-перенаправители маскируются под реальные отели, а финальные платформы имитируют легитимные страницы Booking для кражи банковских карт. Кампания активно развивается с января 2025 года, достигнув пика в мае-июне, и отличается низким уровнем детектирования традиционными антивирусными решениями.
Описание
Механизм атаки основан на компрометации чатов бронирований: злоумышленники отправляют сообщения "Your reservation is at risk" через официальный интерфейс Booking.com, используя существующие диалоги между отелями и клиентами. Сообщения дублируются на email жертв, создавая эффект достоверности. Ссылки ведут на Tier 1-домены вида [hotel_name].[3_letters]-[2_letters].com (например, hostelmandarinkauxeh.eto-la[.]com), которые перенаправляют на Tier 2-ресурсы с паттерном booking.confirmation-id[5_numbers].com. На последних размещены фишинговые формы сбора платежных данных.
Ключевые индикаторы компрометации, выявленные через GTI:
- HTML-заголовки: "One moment..." (779 случаев), "AD not found (captcha2)" (46) и "Suspected phishing site | Cloudflare" (5).
- Мета-теги: URL изображений с ltdfoto[.]ru (126 вхождений) и bstatic.com (14), а также строки формата "Booking - [название_отеля]" (400+ экземпляров).
- Ключевые слова в доменах: "booking", "reservation", "id", "guest", "confirm" - их комбинации используются в 92% Tier 1- и 74% Tier 2-URL.
Техники threat hunting с использованием vt-py и Colab позволили выявить масштаб кампании:
- Анализ 1723 URL показал, что 52.6% выполняют перенаправление, а 47.4% содержат непосредственно фишинговые формы.
- Топ-10 доменов для редиректов включают booking.id5225211246[.]world (62 случая) и booking.confirmation-id9918[.]com (25).
- Распределение детектирования тревожит: 38% URL имеют 0 срабатываний антивирусов, 21% - лишь 1 детект.
Критичная находка - RAR-архив с данными жертв:
- Файлы Check-in_2023-10-06_to_2025-05-12.xls содержат детали бронирований: имена гостей, даты заезда, цены, статусы платежей.
- Текстовые файлы bookings_1714070330.txt включают 4727 записей формата "ID | Фишинг-URL | Имя_жертвы".
- HTML-логи раскрывают 118 Telegram-аккаунтов операторов (@dept_sales, @onlycashvvs и др.), координирующих кражу данных, включая номера карт и банки-эмитенты.
Исследование подтверждает: фишинг эволюционирует в сторону эксплуатации доверия к легитимным платформам. Низкая детектируемость (58% URL имеют ≤1 срабатывание) подчеркивает необходимость проактивного threat hunting на основе IoC, а не реактивных сигнатур.
Индикаторы компрометации
