Fałszywe SMSy z MediaMarkt (IoC)

Automatyczne systemy bezpieczeństwa CERT Orange Polska wykryły we wtorek serię SMSów, których nadawcy podszywają się pod sieć sklepów AGD/RTV MediaMarkt. Treść różnych wiadomości jest do siebie bliźniaczo podobna, według poniższego wzoru:

Nadawca: MediaMxxxx lub Mediaxxxxx (gdzie x to losowa cyfra)
Treść: MediaMarkt czeka na Twoje dane do przesylki.
Sprawdz tutaj: [ADRES_URL].Numer przesylki: MediaMxxxx

Po kliknięciu w zawarte w nich adresy przestępcy, pod pozorem odbioru wygranego w loterii smartfona, wyłudzają od ofiary: imię, nazwisko, miejscowość i adres e-mail.

Indicators of Compromise

URL zawarte w treści to „skrótowce” w domenie .us:
hxxp://y27.us
hxxp://2hq.us
hxxp://h6f.us
hxxp://2xz.us
hxxp://x84.us
hxxp://6dz.us

Docelowo rozwijają się one do poniższych adresów:
hxxp://2e436f.circultural.com
hxxps://prod.letswinstuff.com
hxxp://mediamarkt.pl.dailyoffer.top

W sieci Orange Polska blokuje je CyberTarcza. Jeśli jesteś adminem – zablokuj je w swojej sieci.