Операция TrustTrap: 16 800 поддельных доменов используют когнитивные уловки для кражи данных

phishing

В начале 2026 года аналитики Cyble Research and Intelligence Labs (CRIL) выявили масштабную кампанию, которая насчитывает более 16 800 вредоносных доменов. Вместо сложных эксплойтов злоумышленники сделали ставку на психологию человека. Они регистрируют адреса, визуально неотличимые от настоящих государственных порталов, и назвали эту атаку "Operation TrustTrap" (Операция "Ловушка доверия").

Описание

Суть метода заключается в том, чтобы заставить пользователя поверить, будто он заходит на сайт правительственного учреждения. Для этого мошенники используют так называемую инъекцию доверия в поддомен. В привычном нам интернете часть "gov" находится в самом конце адреса - это признак официального ресурса. Атакующие же помещают эту метку в середину URL, делая её частью поддомена. Человек, бегло взглянув на строку браузера, видит знакомое "mass.gov" или "wa.gov" и теряет бдительность. На деле DNS-авторитет принадлежит совершенно другому домену, зарегистрированному на мошенников.

Специалисты обнаружили три основных класса обфускации. Первый - это сама инъекция поддомена. Второй - манипуляция дефисом, когда доверенный токен разбивается на части, которые сложно отловить программными фильтрами, но легко прочитать глазу. Третий и самый опасный - комбинированный, где оба приёма используются вместе. Более 62% этих доменов практически не детектируются антивирусными базами VirusTotal, что делает их незаметными для традиционных систем защиты.

География атак охватывает все ключевые регионы. Основной удар пришёлся на США, где под удар попали департаменты транспортных средств, системы оплаты дорожных сборов и регистрации автомобилей среди практически каждого штата. Например, только под Вашингтон было создано 797 доменов, под Калифорнию и Флориду - по 722. Но кампания не ограничивается Северной Америкой. В зону поражения попали Индия, Вьетнам и Великобритания. Для индийских граждан мошенники используют структуру "www.in.gov-[id].bond", которая имитирует местный суффикс "gov.in".

Инфраструктура кампании сконцентрирована на облачных платформах Китая: Tencent Cloud и Alibaba Cloud APAC. Доминирующим регистратором доменов является сингапурская компания Gname.com Pte. Ltd., на долю которой приходится более 70% всех адресов. В качестве доменов верхнего уровня злоумышленники предпочитают .bond (51,6%), .cc (20,3%) и .cfd (13,1%). Эта комбинация регистратора и TLD-зоны является сильным признаком для атрибуции.

Внутри общего массива данных CRIL выделила отдельный кластер инфраструктуры, тактики и процедуры которого совпадают с известной группировкой APT36 (Transparent Tribe). Эта группа, связанная с Пакистаном, давно специализируется на атаках на индийские правительственные и оборонные структуры. В данном случае они подделывают сайт Национального следственного агентства Индии (NIA), используя адрес "nia.gov.in.in3ymonaq.casa". Схожесть методов регистрации и хостинга позволяет с высокой долей уверенности говорить о причастности APT36.

Жизненный цикл таких доменов предельно короток. Они активируются волнами, размещают фишинговые страницы для кражи учётных данных и банковских карт, а затем быстро гасятся. Такая ротация сужает окно для их обнаружения и блокировки. Даже те домены, которые сначала кажутся пустыми, служат оперативным резервом для будущих волн.

Выводы из этого расследования заставляют пересмотреть подходы к защите. Традиционные методы, основанные на проверке строкового наличия "gov" в URL, больше не работают. Необходимо внедрять инструменты, которые анализируют структурное положение доверенных токенов, учитывают возраст домена, регистратора и его хостинг. Самим же пользователям стоит запомнить простое правило: настоящий государственный сайт никогда не придёт по ссылке из SMS. Только переход по прямому закладке или официальному адресу гарантирует безопасность.

Индикаторы компрометации

Комментарии: 0