Scams Taking Their Toll?

We've previously posted about toll-themed domains being used in mass smishing campaigns targeting drivers in the US, but they're not the only ones being taken for a ride. While recently investigating a huge cluster of scam domains sharing many similar traits, we've noticed toll scams targeting drivers far and wide, including in Australia, Hong Kong, New Zealand, Portugal, Saudi Arabia, Singapore, Taiwan and the United Arab Emirates.

Think you're safe because you didn't click submit? Think again! These crafty wheeler-dealers are using the JavaScript Socket.io library for real-time communications, meaning text is sent to the scammers as you type!

Examining these back-and-forth communications suggests that your data is being sent to a chat room, and the server response includes 'online-count-user,' showing you're not the only one interacting with the scam at that moment.

Regional examples:
- AU - inforequestl[.]icu
- HK - hketcupdate[.]top
- NZ - niztagoovt[.]com
- PT - visitorsa-pt[.]click
- SA - absher[.]qpon
- SG - lta-gov-sg[.]top
- TW - fetollc[.]top
- AE - dubaipoieh[.]com

#dns #threatintel #threatintelligence #cybercrime #cybersecurity #infosec #infoblox #infobloxthreatintel #scam #phishing

Virussen en phishing

(Een late reactie op een discussie tussen @EllyvA en @ximaar eindigend met https://mastodon.nl/@EllyvA/114064535418745561).

Computervirussen, in de zin van malware (malicious software) die zichzelf verspreidt, zie ik nauwelijks nog - omdat mensen geen floppies meer gebruiken om gegevens uit te wisselen.

Cybercriminelen gebruiken nu vooral social engineering om mensen te bestelen, of om aan vertrouwelijke gegevens te komen waarmee zij vervolgens mensen overtuigen dat zij een betrouwbare partij zijn.

Als zij malware maken bestaat de kwaadaardige component uit een programma (of script in het een of andere document) dat zij bij elke verspreiding wijzigen, en eerst testen op alle gangbare virusscanners (waardoor de meeste scanners aanvankelijk kansloos zijn).

In een steeds groter deel van de gevallen maakt malware misbruik van standaard onder Windows geïnstalleerde software ("lolbins" - Living Of the Land binaries) of installeert een legitieme driver waarmee verhoogde rechten (administrator privileges) worden verkregen.

Ook zeer populair zijn RAT's, Remote Access Tools zoals Teamviewer en Anydesk (steeds vaker misbruikt ook op Android en iPhones). Mensen wordt vaak voorgelogen dat zij een virusscanner zouden moeten installeren - en dat is dus zo'n RAT, zie https://infosec.exchange/@ErikvanStraten/113987804370380156.

En inderdaad is phishing een gigantisch probleem - waar virusscanners nauwelijks of niet tegen helpen, omdat criminelen steeds nieuwe domeinnamen gebruiken (vb: https://security.nl/posting/879531) voor hun websites, en vaak captcha's inzetten waar virusscanners niet "doorheen komen".

Het komt ook voor dat automatisch door browsers verzonden gegevens, en/of IP-adressen, en/of tijdstip van de dag vaak aan specifieke criteria moeten voldoen wil de kwaadaardige versie van een website worden getoond (zie screenshot, druk Alt voor meer info).

Het beste dat je kunt doen, na het openen van een webpagina, is niet op de inhoud letten maar op de DOMEINNAAM (in de adresbalk van de browser). Voor veel te veel mensen is het echter (nagenoeg) onmogelijk om vast te stellen dat een gegeven domeinnaam *niet* van de gesuggereerde organisatie is - en hier bestaat helaas geen SIMPEL en betrouwbaar recept voor.

How Banking Trojan Grandoreiro is Evolving Tactics To Attack Victims in LATAM https://cybersecuritynews.com/how-banking-trojan-grandoreiro-is-evolving-tactics-to-attack-victims-in-latam/ #CyberSecurityNews #cybersecurity #Grandoreiro #Phishing #phishing #ANY.RUN #Malware

Precision-validated phishing: The rise of sophisticated credential theft https://www.csoonline.com/article/3958633/precision-validated-phishing-the-rise-of-sophisticated-credential-theft.html #EmailSecurity #Phishing #Security

Smashing Security podcast #412: Signalgate sucks, and the quandary of quishing - QR codes are being weaponised by scammers — so maybe think twice before scanning that par... https://grahamcluley.com/smashing-security-podcast-412/ #smashingsecurity #encryption #whitehouse #phishing #military #podcast #privacy #qrcode #signal #ios

AI Now Outsmarts Humans in Spear Phishing, Analysis Shows – Source: www.securityweek.com https://ciso2ciso.com/ai-now-outsmarts-humans-in-spear-phishing-analysis-shows-source-www-securityweek-com/ #rssfeedpostgeneratorecho #ArtificialIntelligence #artificialinteligence #CyberSecurityNews #securityweekcom #emailsecurity #securityweek #Cybercrime #agenticai #Phishing

Sapphire Werewolf refines Amethyst stealer to attack energy companies

The Sapphire Werewolf cluster has upgraded its toolkit with a new version of the Amethyst stealer, targeting energy companies through phishing emails. The enhanced malware features advanced checks for virtualized environments and uses Triple DES for string encryption. The attack involves distributing a malicious attachment disguised as an official memo, which contains a C#-based loader protected with .NET Reactor. The Amethyst stealer collects extensive system data, credentials from various applications, and documents from compromised systems. The threat actor's sophisticated approach includes improved evasion techniques and data exfiltration methods, posing a significant risk to targeted organizations.

Pulse ID: 67f6972c506f8bc1bd11ce42
Pulse Link: https://otx.alienvault.com/pulse/67f6972c506f8bc1bd11ce42
Pulse Author: AlienVault
Created: 2025-04-09 15:50:04

Be advised, this data is unverified and should be considered preliminary. Always do further verification.

Scattered Spider Launches Sophisticated Attacks to Steal Login Credentials and MFA Tokens https://gbhackers.com/scattered-spider-launches-sophisticated-attacks-to-steal-login/ #CyberSecurityNews #cybersecurity #CyberAttack #Phishing

Russian APT Hackers Use Device Code Phishing Technique to Bypass MFA https://gbhackers.com/russian-apt-hackers-use-device-code-phishing-technique/ #CyberSecurityNews #cybersecurity #Phishing #APT

PGO's: Agema liegt dat zij barst

Nb. een PGO is een "Persoonlijke Gezondheids Omgeving" (meer hierover in https://www.pgo.nl).

Volgens https://www.security.nl/posting/883501/Minister%3A+curator+verantwoordelijk+dat+failliete+PGO-leverancier+AVG+naleeft zei minister Agema m.b.t. een failliete PGO-aanbieder:

"Je gegevens zijn van jezelf en die blijven bij de bron. Op het moment dat de app weg is, zijn de gegevens ook weg".

In https://www.security.nl/posting/883670/PGO%27s%3A+minister+Agema+liegt beargumenteer ik waarom minister Agema op maar liefts drie aspecten liegt:

1) Gegevens van/over jou zijn (juridisch gezien) niet van jou. Het verkopen van "jouw" gegevens kan een "gerechtvaardigd" belang zijn van "ondernemers". Vooral van (bijna) failliete. Wie zou je daarna aan moeten klagen?

2) Met een PGO blijven jouw medische gegevens *niet* uitsluitend bij "de bron". De kans dat de PGO-aanbieder daar een kopie van op haar (cloud) servers heeft staan, schat ik in op bijna 100%.

3) De kans dat het verwijderen van een app (op jouw smartphone of tablet) ertoe leidt dat al jouw gegevens bij een (failliet gaande) PGO-aanbieder worden verwijderd, schat ik in op ca. 0%.

Trap niet in de leugens van suf-gelobbiede (en mogelijk corrupte) -en vaak het bedrijfsleven ondersteunende- politici!

Grandoreiro Strikes Again: Geofenced Phishing Attacks Target LATAM https://hackread.com/grandoreiro-strikes-geofenced-phishing-attacks-latam/ #Cybersecurity #PhishingScam #CyberAttack #Grandoreiro #Security #Phishing #Android #Malware #TROJAN #LATAM #Scam

AI Now Outsmarts Humans in Spear Phishing, Analysis Shows https://www.securityweek.com/ai-now-outsmarts-humans-in-spear-phishing-analysis-shows/ #ArtificialIntelligence #artificialinteligence #EmailSecurity #Cybercrime #agenticAI #Phishing #phishing

AI Now Outsmarts Humans in Spear Phishing, Analysis Shows https://www.securityweek.com/ai-now-outsmarts-humans-in-spear-phishing-analysis-shows/ #ArtificialIntelligence #artificialinteligence #EmailSecurity #Cybercrime #agenticAI #Phishing #phishing

Man, this AI phishing stuff is getting wild!

Seriously, any newbie can now whip up a fake login page that looks scarily real in no time flat. And get this: the AI can even *host* the malicious site itself and swipe your credentials.

Speaking as a pentester, I'm telling you, this is a whole new level of phishing. Your typical automated scanners? They're often struggling to catch these sophisticated fakes. You've really got to stay sharp out there!

So, my question to you is: How are *you* staying safe from these AI-generated attacks? Drop your tips below!

Cofense: The Rise of Precision-Validated Credential Theft: A New Challenge for Defenders https://cofense.com/blog/the-rise-of-precision-validated-credential-theft-a-new-challenge-for-defenders @cofenseintel #cybersecurity #infosec #phishing

More:

Infosecurity-Magazine: https://www.infosecurity-magazine.com/news/precision-validated-phishing/

In this article, we take a closer look at our data to better understand what’s hosted at three autonomous systems which have appeared at or near the top in recent quarters. We’ll also review who’s being targeted by these attacks and what corresponding name and address resources are most frequently exploited.

Autonomous systems are blocks of Internet addresses, which you can compare to "neighborhoods" in a city. And like any city, some neighborhoods are safe and some are not.

https://lnkd.in/eYw_wdwn

Grandoreiro Strikes Again: Geofenced Phishing Attacks Target LATAM – Source:hackread.com https://ciso2ciso.com/grandoreiro-strikes-again-geofenced-phishing-attacks-target-latam-sourcehackread-com/ #1CyberSecurityNewsPost #CyberSecurityNews #cybersecurity #PhishingScam #CyberAttack #Grandoreiro #Hackread #Phishing #security #android #malware #trojan #LATAM #Scam

#Phishing: Drohung mit hoher Bearbeitungsgebühr im Namen der #Postbank: https://www.verbraucherzentrale.nrw/phishing

Angreifer greifen immer häufiger zum Hörer statt zur Tastatur. In unserem Webinar zeigen wir, warum Vishing (Voice-Phishing) in der Initial-Access-Phase so erfolgreich ist und wie wir diesen Trend in unseren Red-Team-Exercises nutzen.

Mit dabei:
Live-Einblicke in reale Angriffsszenarien
Technische Infrastruktur hinter den Kulissen
Psychologische Tricks für maximale Wirkung
Effektive Schutzmaßnahmen (technisch & organisatorisch)

Melde dich jetzt an und lerne, wie du dich und dein Unternehmen vor dieser wachsenden Bedrohung schützen kannst!

Sprecher: Hagen Molzer, Leitender Berater bei cirosec und Projektleiter unseres Red-Team-Assessments.

https://cirosec.de/news/vishing_phishing-initial-access/