Эксперты рассказали о новой опасности для пользователей мобильного трафика

Специалисты SOC обнаружили, что ресурс одного из клиентов взломан. На нем оказались вредоносные файлы, которые определяли, с какого устройства пришел пользователь, а также какой интернет он использует — мобильный или нет. В итоге при переходе по прямой ссылке с компьютера сайт открывается корректно, а вот при попытке зайти на него со смартфона происходит перенаправление на мошеннический ресурс с предложениями платных подписок. Случай оказался не единичным.

Представьте, что вы вводите интернет-адрес, например, банка и попадаете на предложение оформить услугу или подписку в один клик, — комментирует руководитель центра кибербезопасности hoster.by Сергей Самохвал. — При этом услуга не имеет к реальному банку никакого отношения. И, что самое тревожное, подписка действительно оформится моментально, без какой-либо авторизации и подтверждений в виде СМС с кодом, если вы используете мобильный трафик.

Выяснилось, что злоумышленники подобрали пароль к административной части сайта и внедрили в него веб-шелл. Речь идет о небольшой программе или командной оболочке, которая дает доступ к серверу для выполнения на нем каких-то действий. Она может долго оставаться незамеченной, поэтому, разместив ее однажды, можно долгое время эксплуатировать веб-ресурс. Причем веб-шелл написан таким образом, чтобы анализировать источник трафика и перенаправлять на сторонний ресурс только ту часть, которая использует мобильный интернет.

Сергей Самохвал уточнил, что компания оперативно устранила последствия взлома для клиентов центра кибербезопасности и уведомила владельцев тех ресурсов, которые не находятся на обслуживании в SOC. По его словам, чтобы свести к минимуму подобные проблемы, важно регулярно менять пароли к административной части сайта и делать их сложными. Следить, чтобы не было учетных записей уволенных сотрудников, которые давно не используются. Также нужно сразу обновлять движок сайта, как только выходят обновления, поскольку очень часто веб-шеллы массово размещают на сайтах через уязвимости, которые закрываются в обновленных версиях. Если же вы заметили любые подозрительные изменения на своем сайте, следует обратиться в центр кибербезопасности.