Фанера в масле
@In4securityВ это трудно поверить, но в 2021 году одними из самых подделываемых сайтов предприятий производственной отрасли являются сайты фанерных заводов и фабрик по производству подсолнечного масла. Им, конечно, не обогнать нефтяную промышленность по количеству фейков, но они серьезно опережают многие другие, куда более распиаренные отрасли.
В июне этого года мы узнали о существовании фейкового сайта Тюменского фанерного завода, располагавшегося на домене TUMFZ.RU.

При этом у самого Тюменского фанерного завода не было собственного сайта, так как он входит в состав крупного холдинга. Впрочем, нас этим не удивить. Фейковые сайты нефтебаз появляются практически ежедневно и мы привыкли к тому, что злоумышленники без проблем сделают сайт для организации, у которой нет собственного ресурса. Только вот если в случае с нефтяной промышленностью используются стандартные шаблоны, а сами сайты как правило нацелены на зарубежных клиентов, то с фанерой все несколько иначе. Тут и потенциальные жертвы российские, и сайты строятся на базе шаблонов, украденных у других фанерных заводов.
Так, фейковый сайт Тюменского фанерного завода оказался клоном реального сайта Архангельского фанерного завода, располагающегося по адресу: http://arkpf.ru/ru. Изменениям подверглись лишь логотип, контактные данные, да пара фотографий, на которых уж слишком явно было видно название оригинального предприятия.

Но давайте повнимательнее изучим фейковый сайт TUMFZ.RU.
Информация в разделе «Контакты» практически не отличается от сведений с оригинального сайта ARKPF.RU. Интерес представляет лишь один номер телефона: +73452212583, все остальные указанные на странице номера являются несуществующими и представляют собой слегка видоизмененные телефоны с сайта «Архангельского фанерного завода».
Оператором телефонного номера +73452212583 является ОАО «МТТ» в регионе Тюменская область. В электронных записных книжках данный номер фигурирует под именем «Тюмень Диплом».
Указанные на сайте адреса электронной почты привязаны к учетной записи в сервисе Яндекс.Почта. В качестве основного адреса фигурирует kev@tumfz.ru.
Поиск по адресу почты выдает вот такой отзыв:
Мошенники: tumfz.ru — которые решили закосить под фанерный завод. Для этого они копировали данный сайт: arkpf.ru, поменяли контакты и расположение — все, липовый завод готов! Самому сайту сейчас — целых ДВА дня… По всей видимости они выжидают крупный заказ, как получат его, сайт будет закрыт (я уже видел ранее такие же сайты копии, скорей всего это они же были). В общем, будьте осторожны с ними! P/S — если знаете, напишите куда они просят сделать оплату.
Впрочем, вскоре после обнаружения фейковый сайт прекратил свое существование. На этом историю можно было бы и закончить, если бы не одно но: сайт Тюменского фанерного завода оказался далеко не единственным поддельным сайтом фанерных заводов.
Быстро выяснилось, что, в июне-июле 2021 года был зарегистрирован целый ряд доменных имен, очень похожих на домены российских фанерных заводов. Правда на некоторых их них висели фейковые сайты, не имеющие отношения к деревообрабатывающей промышленности.
Но обо всем по порядку. Как мы помним, фишинговый сайт Тюменского фанерного завода был скопирован с официального сайта Архангельского фанерного завода.
При этом у последнего тоже нашлись фейковые сайты с доменами:
ARFZ.RU
ARHFZ.RU
ARKHFZ.RU
Последний, кстати, работает до сих пор.

И настоящий, и фейковый сайты Архангельского фанерного завода дают нам понимание, почему на созданном злоумышленниками сайте Тюменского фанерного завода в качестве контактного адреса отдела сбыта использовался адрес электронной почты kev@tumfz.ru. Дело в том, что начальник этого отдела в Архангельске - Кочетова Елена Васильевна, а KEV - это всего лишь её инициалы. На фейковом тюменском сайте в качестве начальника отдела указан Скрипник Андрей Борисович, а вот почтовый адрес ему достался в наследство от оригинального ресурса.
Как это обычно и бывает с подобными сайтами, изменения здесь присутствуют лишь на странице "Контакты". Так, на сайте ARKHFZ.RU указаны следующие контактные данные:
Телефоны: 8-800-555-06-49; +79310091607.
Адрес электронной почты: kev@arfz.ru.
В качестве иных контактных номеров указаны: +79184926436, +78612056724, +78633036726.
Поищем по ним информацию.
Телефон +79310091607 обслуживается оператором МиАТел (Ленинградская область), абонент фигурирует в записных книжках под именами «Казань Русторг Ренат» и «Дина Сахар Успенское».
Номер +79310091607 указан в качестве контактного номера компании «Агротрейд» на сайте: https://agrovektor.ru/profile/view/u/31209/part/contacts.html.

Также данный номер использовался для размещения 140 объявлений на сайте: FLAGMA.RU (пример: https://kazan.flagma.ru/kislorod-zhidkiy-tehnicheskiy-o7357312.html) от имени руководителя отдела продаж ООО «Эластик» (г. Казань) Молчанова Дмитрия Владимировича.

Кроме того, данный телефонный номер фигурирует или фигурировал в качестве номера отдела по экспорту бутилированного масла на фейковых сайтах Агрохолдинга «Бунге»: BUNGE-SNG.RU, BUNGE-MASLO.RU, MUFZAVOD.RU, а также фейковом сайте ООО «Южный полюс» UG-POLE.RU и странице https://www.lomaysowda.com.tm, в котором в качестве контактного адреса указан yushnyypolyusoptom@gmail.com.



Телефон +79310091607 фигурирует в привязке к большому количеству фейковых сайтов, нацеленных на клиентов концерна «Уралхим», в том числе: MASLO-IDEAL.RU, ISOPROPANOL.RU, DOBRINSKY-SUGAR.RU, TD-DOMINANT.RU, IMPEXNH.RU, SINTEZ-ACETON.RU.



Поиск по адресу электронной почты: kev@arfz.ru выводит нас на еще один фишинговый сайт Архангельского фанерного завода - ARKHFAN.RU, где он был указан вместе с телефонным номером +79310091607.
Итак, налицо целая сеть фишинговых сайтов с общими контактными данными. Но пойдем дальше. Дело в том, что примерно в одно время с доменом TUMFZ.RU был зарегистрирован еще один схожий домен - TUMENFZ.RU.
Только вот вместо фанеры мы опять находим подсолнечное масло. Фейковый ресурс копирует официальный сайт ООО "Маслопродукт".

Похоже, что мы что-то не знаем про дружбу фанеры и подсолнечного масла.
Поиск по контактным данным позволяет обнаружить еще два фишинговых сайта ООО "Маслопродукт" на совершенно непредсказуемых доменах AFISHA-FUN.RU и INTPAPERS.RU, а также более-менее понятный домен BLAGO-MASLO.RU. На всех из них в качестве контактного номера указан: +79993331846.
Номер этот весьма интересный. В записных книжках абонент фигурирует под именем «Андрей Сергеевич масло» и «Смарт Мани Юр Отдел». Кроме того, номер использовался для размещения на «Авито» более 100 объявлений о продаже арматуры в различных районах Московской области от имени компании «Стальпром».
Но и это далеко не конец. На сайте MUFZAVOD.RU, являющимся клоном сайта компании "Бунге", указаны телефоны: +79587090863, +79310091607.
Такие же контактные данные указаны на сайтах: BUNGE-MASLO.RU и UG-POLE.RU, и в объявлении, связанном с уже несуществующим фейковым сайтом по продаже комбикормов MIXLN.RU.
Упомянутые выше контактные данные фигурируют на еще одном фейковом сайте, действующим пор сей день - KR-MASLO.RU, который имитирует официальный сайт уже знакомого нам ООО "Южный полюс".

Таким образом к 10 июля нами была выявлена сеть из 24 связанных друг с другом фишинговых сайтов, а также более чем 300 фейковых объявлениях о продаже продукции.
Ключевые телефонные номера злоумышленников:
+79310091607 – встречается на 11 фейковых ресурсах.
+79993331846 – встречается на 5 фейковых ресурсах.
Но время не стоит на месте и фейковые сайты фанерных заводов продолжают множиться. На смену Тюменскому и Архангельскому заводам пришли фейки Мурашинского и Ардатовского фанерных заводов.
Первый из них может похвастаться аж тремя действующими фишинговыми сайтами, скопированными с оригинального ресурса: https://mfzavod.com/ru.

MURFZ.RU
MUR-FZ.RU
MURASHFZ.RU
Второй представлен одним сайтом: ARDAT-FZ.RU, скопированным с официального ресурса: https://afz-nn.ru.

Но стоп... Мы сказали "на смену"? На самом деле ранее упоминавшиеся в этой статье заводы все так же привлекают внимание злоумышленников. И если с Архангельским фанерным заводом все понятно - фишинговый сайт успешно и совершенно безнаказанно существует аж с июня, а значит смысла создавать новый сайт у злоумышленников нет, то с Тюменским фанерным заводом все интереснее. Спустя полтора месяца после скоропостижной кончины сайта TUMFZ.RU в сети появилось 3 новых ресурса:
SVEZA-TFZ.RU.
SVEZA-TUMEN.RU
TUMEN-SVEZA.RU
Они построены на все том же шаблоне сайта Архангельского фанерного завода, используют уже привычную нам электронную почту KEV@ и продолжают дело своих предшественников.

Ну и чтобы не останавливаться на достигнутом, злоумышленники создали еще и фейковый сайт компании "Свеза", которой принадлежит ТюмФЗ: SVEZA-GROUP.RU. На нем в качестве контактной почты указан адрес в домене SVEZA-TFZ.RU.

Вы все еще уверены, что у вашей компании нет сайта клона?