Am produs o eroare pe serverul hackerilor, rezultând în acest mesaj

PayloadTooLargeError: request entity too large
    at readStream (/www/wwwroot/cyber/node_modules/raw-body/index.js:163:17)
    at getRawBody (/www/wwwroot/cyber/node_modules/raw-body/index.js:116:12)
    at read (/www/wwwroot/cyber/node_modules/body-parser/lib/read.js:79:3)
    at jsonParser (/www/wwwroot/cyber/node_modules/body-parser/lib/types/json.js:138:5)
    at Layer.handle [as handle_request] (/www/wwwroot/cyber/node_modules/express/lib/router/layer.js:95:5)
    at trim_prefix (/www/wwwroot/cyber/node_modules/express/lib/router/index.js:328:13)
    at /www/wwwroot/cyber/node_modules/express/lib/router/index.js:286:9
    at router.process_params (/www/wwwroot/cyber/node_modules/express/lib/router/index.js:346:12)
    at next (/www/wwwroot/cyber/node_modules/express/lib/router/index.js:280:10)
    at /www/wwwroot/cyber/server.js:27:3

Ce putem înțelege de aici este că respectivul server conține mai multe scripturi care clonează siteuri și colectează date.

Acesta este siteul clonă.

La o analiză a siteului clonă putem observa rapid că:

• orice am completa în formular, rezultă cu o eroare
• meniul și alte elemente clickabile nu funcționează
• nu are icon în fereastra din browser

Inclusiv emailul primit este cu erori de conținut. Menționez că primele emailuri au fost ami corecte.

Ca și tehnică, tacatorii au folosit inteligența artificială pentru a genera scriptul de colectare date, inclusiv pentru design. Ce observăm interesant este că au creat un script care diferențiază roboții de oameni. Se pare că inclusiv spammerii se protjează de…spameri

Cam așa arată și scriptul care colectează credențiale.

Alte informații interesante:

• este posibil ca atacatorii să fie din Ungaria
• înainte de siteul clonă, acolo a fost un wordpress

M-am prefăcut că sunt victima unui astfel de site fantomă și într-o singură zi m-au bombardat cu zeci de  reclame cu servicii diferite. Le-am testat pe toate. De la investiții financiare, la remedii de sănătate, medicamente, produse wow până la reduceri și remedii pentru gaze și slăbit.

Introducere

Numele meu este Paul-Tiberius Coman și îmi dedic o parte din timp pentru a preveni înșelăciunile online și pentru a reduce dezinformarea. O fac voluntar, fără beneficii directe. Dacă reușesc să salvez cel puțin o persoană, mă declar mulțumit. Probabil, în mod indirect, beneficiul meu este dezvoltarea personală și a cunoștințelor despre cum operează infractorii și actorii rău intenționați.

Disclaimer

: în prezent folosesc reclame livrate de Google. Dacă ești victima campaniilor despre care voi povesti mai departe, cel mai probabil ca prin reclamele servite de Google să vezi exact astfel de reclame.

Înțelătoriile online pot avea scopuri foarte obscure, chiar și atunci când distribui o poză inocentă. Acest articol este unul destul de lung – vei avea nevoie de mult timp să îl citești.

Îți recomand să adaugi acest articol la Bookmarks sau să îl distribui cuiva apropiat ca să poți reveni mai ușor la acesta oricând ai suspiciunea că ai fost păcălit online.

Încep acest articol printr-o confesiune. Am ales o poză drăguță care te-a atras să dai click. Oarecum, te-am păcălit cu o „momeală de click”. Partea bună este că, de această dată, chiar ești pe mâini bune. Totuși, chiar și așa, trebuie să iei orice informație de aici cu un grăunte de sare.

În acest articol vom vedea:

• Cum să verificăm dacă o persoană sau un site este real
• Care sunt cele mai uzuale țepe de pe internet – cu poze și exemple
• Cum funcționează manipularea
• Cum să te protejezi
• Unde să anunți autoritățile

Câteva dintre țepele internetului, multe dintre ele combinate cu tehnici offline, sunt:

• magazine online false cu firme fantomă în spate, dar care par reale
• videoclipuri cu medici și profesioniști care oferă anumite soluții minune
• produse nutriționale, de imunitate, pentru slăbire sau pentru vascularizare (știm noi unde)
• platforme de investiții
• locuri de muncă cu efort mic sau cu teste pentru care se câștigă bani
• cazuri sociale inexistente
• tigăi, oale, produse casnice și electrocasnice de care „ai nevoie”
• aur, bijuterii, cadouri
• artiști care pictează cu gura și piciorul cărora trebuie să le donezi prin poștă
• colete false deja plătite sau cu o sumă foarte mică de plătit
• un câștig, voucher sau premiu
• un discount foarte mare
• pierderea accesului la cont, închiderea acestuia
• mesaje de distribuit despre urgențe „naționale”, cum ar fi un nou virus sau un hoț care circulă chiar în zona ta
• solicitarea de date de la bancă pentru verificarea contului, actualziare date sau pentru a primi bani
• sarcini simple de muncă cu primisiunea unor câștiguri mici la ânceput, dar care pot crește (multe chiar plătesc inițial)
• mesaj de la bancă privind un credit deschis în numele meu
• un mesaj de la un prieten sau o rudă care solicită un cod urgent

Lista poate continua, dar o să mă limitez la acestea momentan.

În documentarea mea despre aceste tehnici, am identificat o rețea de siteuri care aplică o combinație de mai multe tipuri din cele menționate, toate coordonate de aceiași escroci. O dată ce ai dat click pe unul dintre aceste siteuri, pe Facebook sau alte siteuri încep să îți apară în mod agresiv zeci de reclame doar de la aceste siteuri din rețeaua fantomă. Chiar și eu m-am minunat cum de au reușit să păcălească algoritmul lui Facebook astfel încât să văd 2-3 reclame identice de la pagini diferite chiar una după alta. Facebook nu permite nici produsele farmaceutice și totuși am văzut astfel de reclame. Mai mult de atât, majoritatea paginilor de Facebook erau false, unele noi, altele vechi.

În cele ce urmează, voi exemplifica cu imagini și voi explica indiciile pentru a identifica siteurile false.

Primul indiciu că ai intrat în vizorul unor siteuri fantomă este că primești multe reclame similare de la pagini diferite care apar brusc într-un mod foarte agresiv, de multe ori nespecific paginilor de Facebook. Din păcate, persoanele în vârstă sunt țintite te astfel de reclame și s-ar putea să te fi obișnuit deja să îți apară numai astfel de imagini sobre și triste.

Presupusa știre virală care maschează o investiție cu randament

Am văzut pe Facebook o știre ce îl prezenta pe domnul Mugur Isărescu drept arestat în emisiunea lui Denise Rifai. Știind că a fost la emisiunea și că au apărut tot felul de articole propagandistice despre răspunsurile dumnealui, părea că articolul continuă alte „știri” pe care le-am tot văzut.

Prima dată mi-a apărut știrea de la Antena 3 sau de la Realitatea (evident, erau niște clone). De această dată, a apărut de la Reliable Automatic. Ce e asta? Știm ce înseamnă? Iată câteva semnale de alarmă:

• Pagina Reliable automatic nu nu este un site de știri cunoscut sau un post TV
• chiar și dacă ar fi fost, nici un post TV sau site de știri nu ar fi sponsorizat această știre, nu de frică sau ceva, ci pur și simplu că nu consumă nimeni bani să promoveze știri. Dacă ar fi fost adevărată, ar fi avut atât de multe accesări încât chiar nu ar fi fost nevoie să fie promovată. Sus scrie că este „Sponsored”, adică o reclamă plătită. Detaliile contează
• Jos sub poză apare linkul google.com – pare că dacă vei da click, vei ajunge pe google, un loc considerat sigur. Chiar dacă nu ești atent la detalii, ân subconștintul tău, crezi că vei ajunge pe Google.

Am fost extrem de curios să văd unde duce linkul. Acela a fost și momentul în care mi s-a înregistrat clickul și am ajuns ținta a astfel de campanii malicioase.

Mai departe, am ajuns pe un site care seamănă izbitopr cu Adevărul. Pot spune că arată identic. Chiar și data publicării era fix data în care mă uitam eu la el. Părea actual, acum, părea că subiectul arde. Și aici detaliile contează super mult.

• Observăm în partea cea mai de sus a telefonului că în bara de adresă scrie noutatilacum.pro, nicidecum adevarul.ro
• Nu trebuia sa ajung pe google.com? Așa scria pe Facebook.
• am continuat testarea și am văzut că butonul meniului nu funcționează

M-am tot întrebat, care este scopul acestui articol? Era extrem de detaliat, a trebuit să dau super mult scroll printr-un întreg articol fals despre emisiunea lui Denise Rifai.

La un momentdat, mai jos, am ajuns la o zonă de testimoniale aparent venite de la ministrul finanțelor sau de la Iancu Guda despre o investiție sigură unde aceștia au fost sceptici la început, dar au avut câștiguri. Inclusiv de la presupuși utilizatori. Păreau că sunt sute de comentarii.

Alte detalii la care trebuia să ne uităm:

• venitendra este un nume dubios
• existau comentarii de dinainte de presupusa dată a scrierii articolului
• nici un site de știri nu ar avea o adresă care să nu aibă legătură cu ei (ex adevărul – venditendra? noutatilacum? )
• niciun site de știri nu ar promova o schemă de investiții, poate nici măcar programul național Tezaur. Apropo, și pe Tezaur există înșelăciuni.

Am dat mai departe click pe butonul roșu ca să văd dacă pot cștiga ceva. Aici am ajuns într-un sondaj de calificare. Rolul acestui sondar este săcolecteze date și să vadă cât de credul ești. Doar simplul fapt că îl completezi, te „califică” în lista lor. Dacă ai completat un email sau telefon, devii și bun de vândut ân liste cu baze de date de persoane împreună cu alte date.

După completarea sondajului, au avut grijă să îmi mai arate niște testimoniale credibile. Rolul testimonialelor este să se creeze senzația că respectivele acțiuni sunt recomandate de oameni în care putem avea încredere pentru că apar la televizor. De multe ori, acestea sunt completate de sute de comentarii aparent venind de la oameni. În ziua de astăzi nu mai este atât de dificil să creezi câteva mii de comentarii. Inteligența artificială poate ajuta atacatorii să genereze sute de comentarii în câteva minute!

Cel mai important este să verifici siteurile, să verifici orice pagină înainte de a cumpăra, mai ales dacă acestea creează un sentiment al urgenței. Unele campanii chiar pot încerca contrariul – anume să te lase pe tine să ai timp dereflectare în caz în care te prinzi că este o schemă. De mutle ori, aceste campanii în direcții diferite merg mână în mână.

Mai jos redau alte exemple de siteuri care realizează campanii similare, chiar către același site final de colectare date.

Evident că scopul acestora este să îți fure banii, iar dacă asta nu reușesc, măcar să îți fure datele sau măcar să te prindă cu alte campanii.

Campaniile de investire pentru oamenii orientați pe risc și pe pariori

Mai departe, au încercat să îmi livreze mai multe tipuri de servicii false. Prima dată, au apărut idei de ivnestiții cu câștiguri.

Am dat click pe numele uneia dintre persoanele de la care venea postarea. Aici se poate vedea foarte clar că are un nume fals, că nu este român și că are niște linkuri dubioase la profil.

Inclusiv adresa de email pare una scrisă la întâmplare. Repet încă o dată că este foarte important să verificăm cine a postat, dacă este de încredere. Poate dura câteva secunde să facem această verificare. Iar dacă te gândești că nu știi cum să faci asta, imaginează-ți că verifici orice persoană de pe Facebook. Doar dai click pe nume și vei vedea detaliile sale. Poți vedea ce postează, cum comunică – aceste lucruri fiind suficiente ca să îți faci o idee. Dacă  observi o descriere scrisă la întâmplare, un nume care nu pare românesc sau o adresă care nu are legătură cu România, cel mai probabil, este un cont fals. Facebook (Meta) se luptă în fiecare zi cu fenomenul conturilor false, dar tehnicile fermelor de boți privind eludarea sistemelor sunt din ce în ce mai evoluate. De multe ori, atunci când cazi ântr-o capcană, este posibil să nu mai găsești contul care te-a păcălit pentru că a fost deja șters de Facebook. Actorii rău intenționați profită de însăși securitatea platformelor pentru a dispărea rapid și fără urme.

Acum să vedem de aproape poza individului.

Nu pare o persoană reală, dar îmi este clar că aceasta țintește oamenii puțin trotilați. Am o vagă bănuială. Iată că nu doar bătrânii sunt încercați. Sunt testate diverse segmente de oameni, până când vor vedea în ce pici mai ușor.

Campaniile de investire cu testimonial de la o persoană aparent reală cu dovezi ale realizării

O altă reclamă este detip video, pare să fie chiar o persoană reală care vorbește despre investiții. Această campanie se remarcă îndeosebi prin faptul că se prezintă numeroase dovezi ale succesului. Aceasta încearcă să îi prindă pe cei mai puțin încrezători care au nevoie de dovezi clare, poze și video cu explicații.

Indiferent dacă este vorba de o persoană reală sau de una generată cu AI, este clar că

pagina are un nume ciudat. Orice primisiunea de câștig care vine cu o postare Sponsored, are un scop de profit.

Pagina acestui Sorin pare mult mai profi deja, are chiar și grafice

Chiar și poze cu el la birou plin de bani

A se observa că este o greșeală de scriere în text și a se observa că îl cheamă Constantinescu și că aduce ăuțin a Emil Constantinescu. Acestea sunt tehnici de creare a unei familiarități cu subiectul. Inclusiv greșeala din nume este o tehnică pentru a atrage atenția. Pare o greșeală nevinovă, dar este chiar în titlu!

Din nou, tehnica chestionarului

În chestionar, a avut rolul să creeze credibilitate punând și niște fețe de copii. Meschin. Foarte meschin. De data aceasta nici nu mai seamnănă atât de mult.

Aici se creează mai multă credibilitate, au pus un nume de persoană care s-ar fi alăturat platformei. Acele mesaje nu sunt adevărate deși pare că sunt în timp real. Butonul este verde tocmai pentru încredere. Codul de verificare de mai jos este făcut pentru a induce ideea de efort și de verificări suplimentare. Cu cât procesul este mai greu, vei crede că este mai real.

Campanii de investiții pentru cei cu bani, pentru manageri

Mai departe mi-au apărut reclame din ce în ce mai profi.

Poate pic în ceva care arată mai pentru o corporație. haha

Bogdan Măureanu pare și mai real decât ceilalți. Deja mă gândesc să nu cumva să acuz pe cineva din greșeală.

Totuși, observă că numărul de telefon nu este din România.

Este foarte important să verifici profilul celui care încearcă să te păcălească. Ține minte că de multe ori au greșeli de scriere sau au detalii scăpate, inclusiv traduceri. Totuși, pot exista și campanii mai deștepte care să țintească o persoană cu o exactitate mai mare, caz în care totul să fie făcut profesionist (dar aceste cazuri sunt rare). Cele mai multe campanii false sunt ușor de identificat.

Campanii de investire în educația ta

Cine te-ar plăti ca să înveți?

Este interesant că s-au gândit, dacă nu investești pentru câștiguri materiale imediate, poate ești genul de om care ar investi în propria educație. Totul este mascat de un plan plauzibil pentru că se propune un sistem de afiliere piramidală care ar crea și „sursa veridică a banilor”.

Se pare că aici este vorba de promisiunea unui marketing afiliat și justificarea ar fi că acele câștiguri apar de la ceilalți care bagă bani. Practic, tu devii unealta care trebuie să îi păcălească pe alții ca să faci bani. Așa funcționează de cele mai multe ori unele scheme de marketing afiliat atunci când este vorba de firme fantomă și nu numai! O astfel de campanie se bazează pe dorința oamenilor de a obșine un venit suplimentar sau de a eschide o „afacere”. Totu;i, trebuie să știi că nu există afaceri fără să produci ceva. Tot ceea ce presupune a te juca cu banii tăi sau ai altcuiva este cu siguranță necurat.

Uneori în astfel de scheme poți ajunge în săli pline de oameni și să pleci de acolo cu bani dați crezând că ai făcut o economie uriașă. Dar ce crezi, când ajungi acasă, îți dai seama că nu ai plecat la drum cu envoia de a cumpăra respecivul robot de bucătărie, mixer sau ce dispozitiv o mai fi și că nici nu ai obținut ceva wow.

Reclamele despre produse de sănătate. medicamente, suplimente

Alte campanii țintesc problemele bătrânilor, cum ar fi gazele. Nimic de râs. Din păcate, deși îți vbine greu să crezi, există oameni acolo în luem care sunt dispuși să îți facă rău, să te facă să cumperi niște medicamente ce îți pot pune sănătatea în pericol. Unii ăți pot vinde zahăr frumos împachetat, dar până și acela poate fi periculos dacă e ambalat cine știe în ce condiții. Această campanie se folosește de imaginea unei doamne în vârstă pentru a crea credibilitate.

[Fotografie eliminata]

La o accesare a siteului, acesta arat[ deosebit de profi, calitativ, culori frumoase. Aproape că îți vine să comanzi.

[Fotografie eliminata]

Mai mult de atât, au conținut în mai multe limbi. Scrie „FABRICAT: ÎN FRANȚA, TESTAT: ÎN GERMANIA” pentru a genera credibilitate.

[Fotografie eliminata]

Și mai grav este că au un produs pentru bebeluși!!!! Unicul lor scop este să îți inducă ideea că este atât de sigur âncât și bebelușii îl pot lua.

Din păcate, am eliminat fotografiile respectivului caz întrucât suplimentul este unul vândut în toate farmaciile din România și nu am putut identifica dovezi cum că ar fi înșelător. Totuși, am identificat alteme mai evidente.

Reclamele care țintesc persoanele foarte bătrâne cu probleme grave de sănătate

Această campanie creează impresia că un cardiolog care a trâit puțin peste 100 ani (adică 101) recomandă rețeta succesului longevității sale. Evident că este o scamatorie.

Nici măcar nu au găsit un nume pentru presupusul medicament. Cardio A?

Aici se creează senzația urgenței. Dacă nu comanzi acum, pierzi pentru că se consumă stocurile. Nu există așa ceva. Dacă vre-un produs are stocurile pe consumare și nu se mai produce, înseamnă că nu a fost bun, dacă ar fi să ne gândim logic. Dacă se vinde bine, nici o firmă nu ar lăsa stocurile să se consume.

În cele ce urmează sunt câteva exemple de comentarii aparent scrise de persoane reale. Totuși, toate aceste comentarii sunt generate cu AI. Chiar și pozewle sunt generate cu siteul https://thispersondoesnotexist.com/. La o accesare, vei vedea instant o poză a unei persoane care nu există.

Din nou, se induce ideea urgenței, dar de această dată se crește și frica de a pierde ceva. Dacă nu te grăbești în 10 minute, pierzi și oferta și cadoul. De regulă, când cineva te grăbește, înseamnă că este vorba de o înșelăciune. Trebuie să ți se lase timp de gândire, indiferent despre ce este viorba. Un produs corect trebuie să poată fi comandat și peste 1 lună și peste 1 an, nu în 10 minute,

În următoarea poză observăm câteva detalii care au scăpat celor care au tradus siteul pentru victimele din românia. Telegrama nu mai există de zeci de ani

Reclame de tip horoscop sau ghicit în stele

Mai există și alte siteuri care se folosesc de horoscop sau de diverse predicții pentru a coelcta date despre tine ca apoi să fie vândute pentru diverse baze de date.

Dacă se ajunge și la o plată, vor fi și mai mulțumiți. Dacă te gândești că doar ai dat click și nu ai completat nimic, să știi că înclusiv faptul că ai dat click pe un astfel de site, te va face pentru o perioadă ținta reclamelor lor pe alte segmente. Te vor încadra într-un profil căruia să îi livreze reclame prin platformele sociale și pe alte siteuri care afișează reclame. De exemple, pe blogul meu afișez reclame pentru că Google îmi poate plăti niște mici sume pentru vizionprile și clickurile primite. Totuși, pe lângă reclamele corecte, pot exista și reclame venite din astfel de rețele de siteuri bine gândite.

Reclame care se folosesc de controverse publice

Această campanie este făcută de un începător, cel mai probabil, folosind un instrument automatizat. În ziua de azi există insgtrumente automatizate care setează astfel de campanii malicioase. Nu au nevoie de cunoștințe tehnice. Practic, criminalitatea cibernetică este accesibilă oricui vrea să facă asta. De aceea este nevoie să luptăm împrottriva acestui fenomen prin conștientizare.

Ce trebuie să știm referitor la poza de mai jos:

• domnul Pătraru nu ar recomanda niciodată acțiuni la nimic
• Hidrioelectrica nu ar comunica atât de neprofesionist. Nu răsplătește nimeni fiecare locuitor la româniei. Nu suntem nici în comunism și nici nu ar fi posibil
• maimuțoiul acela din spate este ciudat, rolul lui este să creeze senzația de inocență și prietenie
• numele celui care promovează postarea este chicken08. Cel mai probabil este un nume generat de un tool automat de creare conturi

Am verificat siteul . Ca aspect, pare veridic și profesional, dar la o verificare mai atentă, lipsesc datele de contact, datele firmei, entitatea, nu poți afla cine este în spatele siteului.

Am verificat cine se află în spatele numelui siteului (Acest pas este mai dificil). Datele deținătorului sunt ascunse, iar locația serverului se află de asemenea ascunsă sub niște nameservere ciudate.

Acest site este în mod clar gândit astfel încât răufăcătorii beneficiari reali să nu poată fi identificați ușor.

Am făcut un cont pe acea platformă și m-a redirecționat la o altă platformă denumită Prime Capital pe care o recunosc. Cu prime capital am luat și eu țeapă acum mulți ani. Am investit o sumă mică în criptomonede crezând că este bvorba de un exchange nou. Părea profesionist, aveau o grămadă de instrumente și ofereau suport. Într-o zi, m-am trezit că toți banii din cont au plecat în tranzacții pierzătoare fără acceptul meu. Aceștia au spus că eu am făcut acele tranzacții și că nu îmi pot restitui nimic. Din fericire, am realizat o dispută bancară, iar cei de la ING m-au ajutat să recuperez suma.

Uitați cât de profi arată această platformă falsă!

Atenție! Sub pretextrul verificării datelor, acești îți vor fura cu totul identitatea, buletinul și datele de card.

Chestionare despre problemele de sănătate care fac reclamă la alte suplimente

Reclame cu suport puternic din partea teoriilor conspirației

Reclame cu presupuși doctori care prezintă o problemă de sănătate din calitatea de „expert”

Vedem un clip cu un doctor care explică ceva ce nu se înțelege despre varice. Videoclipul are 2 secunde și se repetă la infinit. Totuși, pare că el tot explică acolo ceva. Așa că dai clikc să vezi despre ce este vorba. Din păcate, acest clip a produs victime, având 49 de likeuri și 5 distribuiri într-un timp foarte scurt. Cel mai probabil, astfel de clipuri sunt de ordinul sutelor.

Am verificat, iar deținător este un individ din Letonia.Judecând după faptul că numele din email cu numele celui care a înregistrat, nu se potrivesc, este posibil să fie un nume fictiv. difficilemail[.]com este identificat ca un domeniu de e-mail de tip spam, utilizat frecvent pentru e-mailuri nesolicitate, tentative de phishing sau crearea de conturi false. Acest tip de email este folosit de cei care vor sa fie nedetectabili.

Reclame pentru bărbații care nu mai pot

Reclame la criptomonede

Reducerea dezinformării online este una dintre activitățile din care nu urmăresc un anumit fel de beneficiu personal ci doar să mă simt util societății, să pot da înapoi lucruri pe care le pot da. Așa cum tata, Nicolae Coman, scrie fără beneficii pe Wikipedia Română și în alte limbi, fiind în top 10 național, eu mă voi implica în sferele de securitate cibernetică, protecție, luptă împotriva dezinformării – cu toate că acest lucru poate atrage „dușmani cibernetici”.

(PS: Tata, este și în 2026 pe locul 8 după numărul de editări – a se observa că restul nu au nume public)

Voi reveni cu completări zilnice ale acestui articol. Pentru propuneri de colaborare, investigații OSINT (open source intelligence) și documentări despre amennințări cibernetice, vei ști cum să mă contactezi.

Informarea dezinformată – o formă mai inocentă

M-am tot gândit ce termen să dau acestui fenomen. Am descoperit un fenomen care a crescut semnificativ din cauza inteligenței artificiale – mai exact, oamenii se încred prea mult în rezultatele generate fără a mai verifica realitatea. Am documentat un exemplu de caz în acest articol unde un admin de bună credință al unui grup de facebook a încercat să informeze comunitatea însă a comunicat un conținut inexistent, deformat. În articol am exemplificat și pașii prin care am verificat corectitudinea informațiilor și care este adevărul nunanțat corect. Articolul era parțial corect, dar nunața profund dezinformativă, chiar cu efectul inducerii de panică pe piața muncii IT creând senzația că alte echipe întregi de ITsti sunt demise din cauza utilizării inteligenței artificiale.

Surse:

1. Wikipedia

De-a lungul timpului, am observat că diverse pagini de social media sau siteuri emit diverse campanii propagandiste cu următoarele scopuri:

1. afectarea încrederii populației în toate instituțiile publice de orice fel
2. crearea unui sentiment de panică, urgență sau stârnirea de emoții puternice
3. încurajarea redistribuirii prin emoții
4. creșterea număruluin de like-uri și followers
5. monetizarea conținutului vizionat de oameni

În copilărie, bunica mă tot avertiza să am grijă la pericolele internetului pe care ea nu îl înțelegea cu adevărat. Nu știa ce se întîmplă în cutia aia numită calculator, de unde vine internetul ăsta, iar ce se spunea la televizor era încă sfânt. Astăzi, atât bunica (80 ani), cât și sora ei sunt victime ale propagandei și ale tuturor înșelătoriilor de pe internet. De la electrocasnice cumpărate de la firme fantomă, donații prin poștă către asociații dubioase până la distribuiri de postări care par inofensive, dar în realitate nu sunt. Emoțiile pe care le promovoacă aceste postări și orgoliul lor de a nu arăta că au greșit le creează o rezistență incredibilă la a primi și alte păreri referitor la ce distribuie.Până la urmă, ce rău poate să facă dacă îți trimit o poză cu o pisică? Sau dacă te previn cu privire la un pericol pentru că m-am gândit la tine? Cam aici se limitează totul.

Astăzi, una dintre ele mi-a distribuit pe whapstapp un aparent comunicat venit din partea IGPR (Inspectoratul General al Poliției Române). Inițial, l-am citit cu interes, apoi au început să apară multe semne de întrebare. Inclusiv acum îmi este teamă puțin să nu fie un comunicat real, dar am o certitudine de 90% că nu este. În cele ce urmează, vom face o „analiză pe text”.

Acesta este mesajul pe care l-am primit pe whatsapp.

După cum se poate observa, whatsapp adaugă avertizarea de „Redirecționat frecvent” sau „Forwarded many times” dacă whatsapp este în engleză. Apare și o opțiune să putem căuta imaginea pe net ca să vedem ce reprezintă.

Am căutat imaginea pe Google folosind acel buton și am ajuns la o postare de pe facebook a unui cont denumit Adrian Prisecariu. Nu îmi pot da seama dacă este un cont fals sau nu deși majoritatea postărilor par lucruri virale sau generaliste.

Contul are 153 mii de urmăritori, la bio are mesajul „O familie fericită nu este altceva decât un rai timpuriu.” și își pune în prim plan copiii. Totuși, mă gândesc că nimeni nu și-ar face o pagină atât de publică și să îți pună poza cu copiii de până în 10 ani la profil și la cover. Este o expunere mult prea mare pentru ei. Din start, ceva nu se leagă. Mai mult de atât, are cont cu bifă albastră, deci, plătește abonament. Costurile sunt între 15 dolari și 500 dolari pe lună pentu acea bifă!

De menționat este că aceasta este o pagină de afacere, nu un profil de persoană. Încă un lucru care ar trebui să ne dea de gândit. Nu voi emite nici o judecată referitor la această pagină pentru că este posibil chiar să fie o persoană care să âncerce să strângă bani din conținut viral pentru o anumită cauză personală. Problema rămâne, ce este cu comunicatul IGPR? Intru în detalii imediat.

Acesta este presupusul comunicat.

Cu siguranta, acesta nu este un comunicat oficial. Politia nu se exprima astfel, mai ales în condițiile în care IGPR este o instituție mare, cu purtător de cuvând, cu oameni care verifică ce iese pe poarta instituției.

Câteva elemente care ar trebui să dea de gândit:

• sigla de slabă calitate
• antetul supradimensionat
• nu are aspect nici de document, ncii de comunicat
• fundalul este unul creat pe calculator deși seamănă cu hârtia mototolită. Se observă că textul nu este mototolit o dată cu fundalul
• Niciodată o instituție publică de orice fel nu va începe un document cu expresii de tipul „redirec’ionat frecvent”
• Textele sunt neprofesioniste
• Stimați proprietari este of formulă de adresare ciudată. Pare că nu ia în considerare toți oamenii sau că este o traducere nereușită
• propozițiile nu au predicat (unele)
• „Trimite-l tuturor grupilor” – clar este o eroare de traducere din altă limbă. De asemenea, poliția nu va comunica niciodată o astfel de exprimare
• Niciodată poliția nu se va exprima cu „sa stiți că”… „guvernului” cu g mic. Nici măcar un copil nu ar scrie un astfel de text neprofesionist.
• Un comunicat real ar avea: număr de înregistrare, dată, eventual semnătură / structură emitentă (ex: Direcția de Comunicare), contact (telefon/email oficial)
• lipsa comunicării pe canalele oficiale
• tonul este alarmist și vag, cum spuneam
• incoerență logică. Dacă ar exista o amenințare reală de acest tip: poliția ar recomanda apelarea la 112 ar exista descrieri clare ale suspecților / metodei Nu doar „nu le dați informații”.

Oare care este scopul acestei imagini? Sa induca panica? Sau sa mai șubrezească încrederea în autorități prin campanii direcționate subtil impotriva acestora? Apropo, niciodată pe un document nu se va scrie „redirectionat frecvent”. Aceasta este o tehncia de manipulare inspirată din faptul ca pe whatsapp apare o notificare atunci cand un mesaj este suspicios pentru ca este redirectionat frecvent. Cumva, se combate acel mesaj prin aparenta generare a unei legitimitati, folosindu-se de nume de institutii. Cu siguranta aceasta postare este manipulativa in moduri complexe.

Pe scurt, rolul ei pare să fie:

• să combată mesajul de avertizare al Whatsapp cu redirectionat frecvent si sa ii creeze legitimitate
• sa creeze o stare de panica
• sa slabeasca increderea in institutii prin mesaje aparent inovensive daca ar fi distribuite, dar care dau impresia ca institutiile nu comunica eficient si nici nine
• sa creeze impresia ca politia nu este in stare sa ii prinda pe faptasi si singura solutie este sa anunte populatia
• testarea viralității și obținerea de informații despre cine distribuie (cel mai probabil, se pot face niște corelări de date)
• mesajul construit să fie distribuit masiv, mai are și îndemnul la acțiune de tip „trimite tuturor”
• ar putea fi folosit în alte campanii de manipulare și de creare a unei enxietăți difuze

Tehnica aceasta se numește spoofing instituțional, mai exact, pentru că actorii rău intenționați se folosesc de elementele vizuale ale unei instituții pentru a comunica în numele acesteia.

Iată cum, analizând mai în detaliu, se confirmă că acesta este exemplu destul de bine construit de conținut manipulativ care: imită autoritatea, exploatează comportamente digitale (forward) și influențează percepțiile sociale (încredere, siguranță).

„Bună Paul ! Aș vrea să-ți cer o mică favoare: te rog să votezi pentru Silvia. Este fiica prietenilor mei, iar premiul este un curs gratuit de dans, care înseamnă foarte mult pentru ea”

Pare convingător pentru că mi-a folosit numele.

La accesarea linkului, pagina web pare inocentă deși linkul ar trebie să dea de gândit.

Primul lucru pe care trebuie să îl faci este să intri în setări la dispozitive conectate și să elimini tot. Apoi vei avea timp să ștergi mesaje și să răspunzi la apeluri. Este critic să faci asta în primele secunde, până când Whatsapp îți va bloca contul pentru spam timp de 24 ore.

Cum se realizează preluarea contului: 

Siteul cu pricina prezint[ o pagină de vot pentru 2 fete și solicită conectarea cu telefonul pentru a verifica prin cod unicitatea votului. Există și varianta scanării unui cod QR. Ulterior, va apărea fluxul de confirmare a furnizării accesului către un alt dispozitiv. Dacă până acolo nu ți-ai dat aseama, abia în acel moment ar trebui să nu te grăbești și să citești la ce dai acces.

Din păcate, siteul infectat a primit atât de mult trafic de la victime întrucât a picat.

Din păcate, nu am reușit să fac niște capturi de ecran pentru a explica modul în care este gândită campania de phising pentru că siteul a dispărut prea rapid.

• am descărcat câteva fișiere pe care le-am recunoscut vizual că nu aparțin wordpress și le-am analizat. Se pare că nici măcar nu au încercat tehnici mai complexe de obfuscare ca să fie greu de interpretat.
• în baza analizei, am putut identifica și alte fișiere care conțineau același cod
• într-unul dintre fișiere am identificat că se utiliza o opțiune din wp_options cu numele transient_sys_cache_vx. Evident că am efectuat o căutare după această variabilă pe care am șters-o. Am căutat și după vx atât în baza de date cât și în fișiere
• cea mai complicată etapă a fost curățarea pluginurilor vechi, a temei și a pluginurilor fantomă
• în mu-plugins am identificat un alt plugin fantomă
• în users am identificat utilizatori cu drept de admin care au fost eliminați
• după toate curățările, am securizat siteul, am optimizat permisiunile și am eliminat pluginul nulled.

Această pagină funcționează similar unui Registru de ieșiri, oferind acces rapid la documentele și mesajele transmise de Ministerul Finanțelor Publice (MFP) către contribuabili prin intermediul SPV. Aici puteți consulta răspunsurile oficiale ale MFP la solicitările dumneavoastră, precum și alte documente transmise automat de instituție, fără o cerere prealabilă din partea utilizatorului.

Toate documentele afișate pot fi descărcate în format PDF. Este recomandat să le salvați local, deoarece acestea sunt disponibile în platformă doar pentru o perioadă limitată de timp, în funcție de capacitatea tehnică a serviciului. După expirarea acestei perioade, documentele nu se pierd, ci sunt transferate în arhiva electronică a MFP. Totuși, reactivarea și retransmiterea lor la cerere implică o procedură suplimentară, mai complexă și cu durată mai mare.

Prin intermediul acestei interfețe, utilizatorii pot vizualiza, descărca și arhiva documente fiscale oficiale, emise fie la cererea lor, fie din inițiativa autorității fiscale. Sistemul asigură trasabilitatea completă a comunicării dintre contribuabil și MFP, fiecare document fiind înregistrat, semnat electronic și disponibil pentru descărcare în format PDF.

Deoarece serviciul are resurse tehnice limitate, documentele rămân disponibile în această listă doar pentru o perioadă determinată, după care sunt transferate automat în arhiva electronică a MFP. Recuperarea lor ulterioară se poate face printr-o cerere formală, însă procesul este mai lent și implică verificări suplimentare de identitate și conformitate.

Pentru o bună administrare a propriilor documente fiscale, este recomandat ca utilizatorii să descărce și să salveze local toate fișierele imediat după primire.

Tipuri de mesaje disponibile în SPV

Am ales să fiu acolo pentru că 3 km de Family & Fun Run sunt accesibili oricui, chiar și mie după operația de hernie. O să fie primul cros la care voi merge în loc să alerg (mint, am mai mers și la un maraton când ajunsesem la limită). Sper că va fi o experiență la fel de faină și să simt vibe-ul comunității dintr-o perspectivă mai puțin competitivă.

My 2  cents: evenimentul este gratis, (locurile sunt limitate)

Pe lângă cursă, experiența e vie: Aleea bolilor rare, standuri pentru sănătate, consiliere nutrițională, tur de laborator. Câștigătorii vor primi pe lângă medalii. niște premii diferite față de ceea ce mai vedem pe la alte evenimente: consiliere genetică și realizarea unui test genomic acreditat.

„Run for Genomics” nu e doar o cursă. E un mesaj puternic despre prevenție, diagnostic corect și tratament personalizat, în special pentru pacienții cu boli rare. E și un semnal de alarmă: acces inegal la testare, lipsa unor standarde unitare, nevoia de formare continuă.

Recomand să veniți. Nu pentru aplauze. Ci pentru sens  că ceea ce se întâmplă la „Genomică” ar putea pune România pe hartă, cândva.

Detalii și regulament: genomica.gov.ro/runforgenomics

later edit: se pare că atacul s-a realizat printr-o vulnerabilitate a pluginului WordPress File Manager ce a fost instalat la un anumit moment de un developer junior. Recomand ca în construirea siteurilor WordPress să se utilizeze un număr cât de mic cu putință de module pentru a limita posibilitatea de a intra în breșe de securitate de la oricare dintre vendorii acestora. Mai ales, recomand să se evite pluginurile care pot avea funcționalități prea complexe sau „periculoase”, cum ar fi un file manager.

Ce pot spune este că niciunul dintre soluțiile actuale nu au rezolvat problema, așa am ajuns să pierd mai mult timp decât speram. Wordfence, Sucuri, Malcare și Malcure  nu au curățat nimic. Și mai frustrant este că malcare mi-a arătat o alertă cum că 2 fișiere ar fi infectate, însă nu preciza și care dintre ele sunt. Prețul pentru a solicita o curățare era de 149 de dolari pe an pe care clientul sigur nu l-ar fi plătit și nici eu benevol. Malcure, în schimb, a identificate cele 2 fișiere, dar nu a permis curățarea fără un plan premium. Totuși, am putut merge individual la fiecare fișier și să le șterg manual. Pentru că instinctul meu nu m-a lăsat și curiozitatea mi-a făcut mâncărimi la mouse, am zis să văd ce e înăuntru, așa că am descărcat fișierele pentru o analiză mai aprofundată.

Așa am descoperit că și antivirusul de pe hosting ar fi detectat ceva, dar nu a fost suficient de abil să curețe tot. Unul dintre fișiere se numea hell_prison.php. Când Malcure a terminat scanarea, am văzut că și în baza de date mai era injectat un script, script care la rândul lui executa multe cereri către altre scripturi, totul foarte bvine mascat. Între timp, alte fișiere se multipicau pe server (ce conșineau cod obfuscat, encoded).

Am descoperit că unul dintre fișiere descărcat un cod obfuscat de pe github, aceasta fiind o altă tehnică pentru a face atacatprul să fie prins mai greu pentru că pare a fi un cod cât de cât legitim, mai ales fiind la un nivel minim de linii de cod. Pentru că multe fișiere din wordpress și toate pluginurile erau modificate, am instalat un plugin care mi-a permis reinstalarea lor forțată. Problema este că în tabela utilizatorilor apărea un utilziator cu drepturi depline de admin ce era imposibil de șters pentru că apărea instant.

Întrucât am observat ce fișiere încearcă să acceseze atacatorul prin sute de requesturi externe, am mai identificat câteva denumiri de fișiere pe care antivirusul de la hiosting nu îl putea identifica. Cireașa de pe tort a fost să descopăr un „plugin” care nu era vizibil ]n administrare, dar în fișiere da.  Acest plugin rula automat și nu putea fi dezactivat, dar rolul său era să creeze adminul. Pare că acesta a fost unul dintre primele fișiere create pe server de la atac și singurul neidentificat de nici o soluție de scanare.

În acest moment, siteul este curățat, cu prețul timpului meu și cu ărețul refacerii unor secțiuni ce nu au mai putut fi recuperate (petnru că am renunțațt la pluginurile pe care le-am considerat riscante), Siteul rămâne în monitorizare, dar sper că situația rămâne sub control.

PS: Așa arată un plugin fals. Acesta este un exemplu de virusl care vine in completarea celui anterior menționat.

Așa  arată un cod obfuscat menit să nu fie ințeles cu ușurință și pentru a ascunde activitatea suspectă

Așa arată un fișier curățat incomplet de antivirus

Fișier ce conține cod encoded base64 pentru a fi nedetectabil de către sistemele de securitate ale github.

Mesajul pare super verific pentru că designul este curat și folosește elementele vizuale ale CEC Bank (culori, logo, bannere).

Linkul către care se face trimitere duce la un site fals de pe alt domeniu, dar care se termină în „/cec/”. Acesta este un semnal că respectivul site conține mai multe pagini false, nu doar cea a CEC Bank.

Primul lucru pe care trebuie să îl verificăm la un astfel de email este de la cine vine.

Apoi, dacă ținem mouseul deasupra butonului sau imaginii unde se presupune că ar trebui să facem click, ne apare pagina de destinație

Aceste 2 elemente de verificare ar trebui să ne dea de gândit pentru că siteul oficial al bănci este cu siguranță altul.

Cu noroc, Google Chrome ne avertizează destul de rapid că siteul țintă este periculos. Dacă nu ne dăm seama că nu aparține de CEC, acest mesaj ar trebui să fie suficient.

Redau aici mesajul de tip tentativă

Draga Client, Am observat un utilizare neobișnuită a cardului dumneavoastră de credit de la adresa IP 213.162.80.119. Ca rezultat, am descoperit că altcineva a folosit cardul dumneavoastră fără permisiunea dumneavoastră. Ce ar trebui să faceți? Apăsați butonul de mai jos pentru a deschide o fereastră de browser securizată și urmați instrucțiunile pentru a efectua imediat o verificare a identității și pentru a revizui activitatea recentă. Mergeți la Internet Banking Notă : Vă rugăm să faceți acest lucru în 24 de ore, altfel va trebui să vă blocăm cardul pe termen nelimitat, deoarece ar putea fi folosit în scopuri frauduloase.Cele bune, Echipa CEC Bank

Ce găsim pe pagina de destinație?

La accesare, va aparea un formular ce solicită datele cardului. Nici o bancă nu vă va solicita ABSOLUT NICIODATĂ aceste informații, mai ales online. Nici măcar angajații băncii nu au acces la astfel de informații.

Dacă cumva ai completat din grabă informația (pentru că astfel de campanii se folosesc de grabă și frică), următoarea pagină îți va da de gândit pentru că afișează o imagine care se încarcă la infint, fără să facă nimic. În tot acest timp, atacatorul va încerca extrem de rapid să îți folosească datele, iar dacă nu va reuși, oricum le va vinde pe un forum. CNPul tău asociat cu emailul de pe care ai venit se pot vinde bine.

Concluzia: nu te grăbi niciodată, verifică orice sursă de informație!

PS: Tehnicile moderne de phising folosesc apelurile vocale și chiar video cu ajutorul inteligenței artificiale. Voi reveni cu articole despre cum să ne protejăm.

Update: Schema Followup

Cel mai interesant lucru este că, deși linkul suspect părea unul generic, acesta avea o denumite unică astfel încât să detecteze faptul că am făcut click.

Ulterior completării formularului care fură datele cardului, am primit un email de followup cu subiectul „Actualizare de securitate necesară pentru contul dumneavoastră”.

Atacul pare că schimbă strategia cu una de tip psihologie inversă pentru cazul în care cititorul și-a dat seama că este vorba de un spam. Cel mai interesant este că emailurile au ajuns în inbox și nu în spam.

De această dată, am primit mesajul de la alt sender, alt link, cu mesajul:

Stimate client,

Contul dumneavoastră a fost suspendat. Trebuie să activați noul sistem de securitate.

Ca răspuns la atacurile recente care au afectat multe sisteme bancare, CEC-BANK în parteneriat cu Poliția pentru consolidarea securității tranzacțiilor necesită actualizarea contului dumneavoastră în următoarele 48 de ore.
Activează Sistemul Nou

* Echipa noastră lucrează întotdeauna pentru a vă oferi tot ce este mai bun.

Vă mulțumim pentru încrederea acordată,

CEC-Bank

Interesant este că, pe pagina de destinație, niciunul intre câmpuri nu are filtre pentru o validare corecta.