Привет, Хабр. Сегодня я хочу поделиться историей одного небольшого, но увлекательного расследования. Все началось, как обычно, с малого — с одного подозрительного IP-адреса. А закончилось вскрытием целой сетки фишинговых доменов и отправкой финального «письма счастья» хостинг-провайдеру.
Это не рассказ о взломе Пентагона с помощью 0-day. Это реальный кейс, показывающий, как с помощью базовых инструментов, OSINT и капельки терпения можно пресечь деятельность мошенников, которые, как выяснилось, работали с размахом.
Предыстория: Я подключил себе секретаря от тиньки, что б поприкалываться над мошенниками. И тут звонок, говорят из деканата, просят выгрузить какую-то характеристику и без этого якобы не получится получить диплом, устроиться на работу и тд. "Сотрудник деканата" просит зайти на портал и диктует урл по буквам. Далее попросили авторизоваться и там уже получить выгрузку. Но как вы уже поняли, мошенники хотят украсть креды от госуслуг.
Этап 1: Первичная разведка – Шум в эфире?
Все началось с IP-адреса 146.103.41.114 и связанного с ним домена gpkmo.com. Первым делом, как и положено, запускаем nmap:
sudo nmap -sS -p- --min-rate=1000 146.103.41.114И тут нас ждал первый сюрприз. Nmap показал, что все 65535 портов находятся в состоянии open.
Классическая уловка. Файрвол на сервере настроен так, чтобы отвечать на любой SYN-пакет, сбивая с толку простые сканеры. Это говорит о том, что админ как минимум читал мануалы по базовой защите.
Хорошо, обходим блокировку ping и просим nmap определить версии сервисов на стандартных портах:
sudo nmap -sV -sC -Pn -p 21,22,80,443... 146.103.41.114Картина прояснилась:
22/tcp: OpenSSH 8.2p1 (Ubuntu)
80/tcp, 443/tcp: nginx 1.18.0 (Ubuntu)
Ничего особенного, никаких «дырявых» версий. Стандартный веб-сервер. Пора смотреть, что на нем крутится.
Этап 2: Анализ веба – Ловушка для простаков
Зайдя на сайт, мы увидели не клон Госуслуг, а страницу-прокладку, замаскированную под «Государственный Образовательный Портал».
Текст на странице — классическая социальная инженерия: упоминание приказа Министерства образования, изменение параметров подключения к ЕСИА с будущей даты (12.02.2025 г.) и призыв авторизоваться через Госуслуги.
Кнопка «Войти через Госуслуги» вела на /login, который, в свою очередь, перенаправлял нас на страницу, являющуюся полной копией настоящего портала Госуслуг. И вот здесь началось самое интересное. Анализ исходного кода этой страницы дал нам две ключевые зацепки:
-
Улика №1 (Лень):
<html lang="ru" data-scrapbook-source="https://esia.gosuslugi.ru/login/">Мошенники не стали заморачиваться и просто скопировали страницу с помощью расширения ScrapBook. Это кричало о низком уровне их технической подготовки.
-
Улика №2 (Откровение):
// Отправляем форму в Telegram fetch("/send-login", { method: "POST", headers: { "Content-Type": "application/json" }, body: JSON.stringify({ /* ... */ }), })Комментарий в коде (страница логина в ГУ, в тегe <script>, кому интересно, могу скинуть полный код обеих страниц) расставил все по своим местам. Им не нужна база данных. Они просто пересылают украденные логины и пароли себе в Telegram. Это объяснило, почему наши дальнейшие попытки найти SQL-инъекцию с помощью
sqlmapпровалились — атаковать было нечего.
Этап 3: Попытки прямого штурма – Стена
На этом этапе мы убедились, что цель хоть и примитивна, но защищена от атак «в лоб».
SQLi/Command Injection: Провалились.
Сканирование директорий (
gobuster): Наткнулось на хитрую защиту. Сервер на любой несуществующий путь отвечал не 404, а редиректом 302 на случайный URL, который в итоге показывал ту же страницу входа.
/login (Status: 302) [Size: 39] [--> /b9b691d3414a26ab]
/Login (Status: 302) [Size: 39] [--> /77cec69c40cadb88]
...Прямой штурм захлебнулся. Пора было менять тактику.
Этап 4: OSINT – Начинается настоящая работа
Раз технические средства не сработали, мы перешли к разведке по открытым источникам. У нас был уникальный артефакт — фраза со страницы-прокладки: "В связи с изменением 12.02.2025 г. параметров подключения системы к ЕСИА".
Один-единственный запрос в Google по этой фразе дал ошеломляющий результат.
Мы увидели десятки доменов с абсолютно идентичным содержанием: ipkmo.com, lpkmo.com, apkmo.com и так далее. Быстрая проверка показала, что все они ведут на один и тот же IP 146.103.41.114.
Вывод: Мы столкнулись не с одним сайтом, а с целой сеткой доменов, созданной для уклонения от блокировок.
Этап 5: Профилирование инфраструктуры – Финальный штрих
Оставалось собрать всю информацию воедино.
subfinderне нашел субдоменов.digиwhoisпоказали, что владельцы доменов скрыты за Whois Privacy.-
Анализ IP через сервисы типа 2ip.ru дал финальную картину:
Информация об IP-адресе 
Хостинг-провайдер:
regxa-cloud(зарегистрирован в Ираке).Расположение сервера: Германия.
Использование провайдера из одной юрисдикции для аренды серверов в другой — еще одна попытка запутать следы.
Заключение: Финальный удар – Abuse Report
Взлом сервера в данном случае был бы неэффективен. Даже получив доступ, мы бы просто увидели статические HTML-файлы и один скрипт-форвардер. А на следующий день они бы подняли копию на новом домене из своей сетки.
Единственный верный способ противодействия — уничтожить инфраструктуру.
Мы собрали все наши находки в один отчет:
IP-адрес сервера (
146.103.41.114).Полный список обнаруженных фишинговых доменов.
Описание мошеннической схемы.
Неопровержимые доказательства (код с
data-scrapbook-sourceи комментарием про Telegram).
Этот отчет был направлен в abuse-службу хостинг-провайдера regxa-cloud. С таким набором доказательств у них не остается другого выбора, кроме как заблокировать сервер, обрушив тем самым всю сеть мошенников.
Мораль сей басни проста: иногда самый эффективный «эксплойт» — это грамотно составленный email, подкрепленный тщательной разведкой. А OSINT по-прежнему остается королем.
P.S: Я только начал заниматься данной деятельность, поэтому прошу без резких высказываний. Я открыт к новой информации и жду ваше мнение в комментариях :-)
Комментарии (17)
Ydav359
17.07.2025 14:15Объясните один момент. "Сканирование портов с использованием инструментов вроде Nmap может быть незаконным, если оно проводится без разрешения владельца сети".
В статье речь, конечно, о мошенниках, просто не совсем понятно, как применять инструмент, если его использование как бы вне закона.
MountainGoat
17.07.2025 14:15Если читать закон, то у нас почти всё IT вне закона, начиная с запрета на Linux, про который все побурлили и обещали поправить, но ничего не поправили. Привыкайте.
А React, GraphQL, and PyTorch - это продукты террористов, распространять их значит участвовать в деятельности террористической организации, там и 10 лет прилететь может.
kbones Автор
17.07.2025 14:15Ну если его использовать на мошенниках я думаю, никто ничего не скажет. Тут важно понимать, если его использовать на территории РФ, то главное, что бы эти действия были согласованны, например в рамках баг-баунти программы или договоренности со сканируемой стороной
MrSmitix
17.07.2025 14:15Звонили мошенники с таким же сайтом с неделю назад, только домен был org. Улыбнуло уже на этом моменте. Какое удовольствие было притворяться недалеким пока они пытались объяснить какие буквы там в домене что б я смог на него попасть... Яндекс браузер кстати сразу определил что сайт мошеннический и закрыл к нему доступ
Тоже увидел комментарии об отправке в ТГ в форме, но решил пойти другим способом. Скормил запрос ChatGPT и попросил накидать скрипт который отправлял бы фейковые данные каждые пару минут. На выходных скрипт ещё работал, потом забыл про него. Но надеюсь настроение людям на том конце удалось подпортитьkbones Автор
17.07.2025 14:15Я первым делом, сделал то же самое, сначала через постман запросы прокинул, потом на пайтоне написал скрипт, который шлет запросы в ручку. Но проблема в том, что сервак потом начинает блочить эти запросы и смысла в них уже нет. Я так понимаю к ним в бот приходят какие-то веб-хуки с данными пользователей из этой апихи и туда можно че угодно закинуть. И тут вопрос, получится ли отправить к ним на сервак скрипт, который как-то повлияет на работу этого сервера, либо же закинуть к ним туда ссылку, по нажатию на которую в тг появится возможность получить какой-то доступ к компу на котором ее открыли или сделать фотку с вебки, получить ip-адрес и тд. Думаю это можно проверить ))
Darkholme
17.07.2025 14:15Очень наивно думать, что люди, занимающиеся фишингом, поведутся на установку трояна. Вот что действительно может сработать - так это отдать страницу со своего сервера и логгировать успешные подключения. Так хоть узнаете их IP, но это не точно
Ну да, ещё можно пробовать инъекции, если эти данные автоматически где-то обрабатывтся, но это уже сложности. Могу только пожелать удачи
kbones Автор
17.07.2025 14:15Возможно xss-инъекции можно попробовать, если соберу достаточно информации, напишу продолжение
max9
однако ответ хостера вы не получили или не процитировали. выхлоп с практической тз нулевой.
kbones Автор
пока да, надеюсь это сработает
GoDevSeoTaxi
Что мешает поднять сетку рядом на другом провайдере?
kbones Автор
ну как минимум, на короткое время атаки прекратятся, так же я подал жалобы в РКН, МВД и НКЦКИ. Может быть как-то повлияет, да и статья написана в качестве просто интересного кейса и подсветка такой мошеннической атаки