Приложение KFC крадет личные данные своих клиентов

Клиенты KFC и McDonald's стали жертвами фишинговых кампаний в Саудовской Аравии, ОАЭ и Сингапуре, при этом злоумышленники украли банковские реквизиты у некоторых жертв.

Исследователи безопасности из CloudSEK заметили , что одна из этих кампаний работала через домен, выдающий себя за Google Play Store и отображающий вредоносное браузерное приложение для Chrome.

При переходе по вредоносному URL-адресу и пользователь попадает на поддельную страницу Google Play с приложением «KFC Saudi Arabia 4+».

Поддельная страница Google Play Market

После установки в браузере Chrome создается ярлык для приложения. При запуске KFC Saudi Arabia 4+ открывает окно приложения Chrome, которое загружает вредоносный сайт, не работающий на данный момент.

Ярлык вредоносного приложения в Google Chrome и вредоносный сайт

Эксперты CloudSEK также обнаружили второй фишинговый веб-сайт, ориентированный на клиентов KFC. Когда жертва пытается оформить заказ на фишинговом сайте, появляется всплывающее окно для заполнения данных пользователя.

Фишинговый сайт и форма ввода данных

Эксперты отметили, что форма была хорошо разработана, поскольку предлагала пользователю указать местоположение с помощью API Google Maps. Кроме того, фишинговый сайт принимал только данные платежных карт, которые удовлетворяли алгоритму Луна, чтобы гарантировать, что данные карты действительны.

После отправки данных карты пользователь должен был ввести одноразовый пароль, полученный по SMS. После ввода пароля жертва попадала на другой сайт, имитирующий McDonald's.

Форма ввода пароля

С помощью Passive DNS и Reverse IP Lookup исследователи CloudSEK обнаружили дополнительные домены, размещенные на серверах, используемых фишинговым сайтом.

В бюллетене также предлагается компаниям выявлять домены, выдающие себя за торговые марки и товарные знаки, и сообщать о них, а также проводить информационные кампании для информирования клиентов о процессах организации.