8
月
在社区成长 8 月
LEVEL 1
1 XP
受影响的平台: N/AI影响: PII 和银行详细信息被盗严重级别: 中
2025年6月13日，以色列针对伊朗军事领导层、常规军事基地、防空系统和核基础设施发起了全面的先发制人行动。该活动被以色列政府和军方称为“崛起之狮行动”。上个月，Fortinet 发表了一篇博客，详细介绍了最近这场冲突所凸显的网络战的新现实。
随后两国之间进行了为期12天的相互打击和反击，造成了重大损失，并给夹在中间的平民造成了广泛的恐惧和不确定性。在美国介入“午夜之锤”行动后，双方宣布停火，并一直维持至今。
2025 年全球威胁形势报告
使用此报告可以了解最新的攻击者策略，评估您的暴露情况，并在下一次攻击攻击您的环境之前确定采取行动的优先顺序。
立即下载
在此之后，FortiGuard 实验室发现了似乎是利用这场危机的企图。威胁行为者利用对再次发生暴力的恐惧，发起了网络钓鱼活动，以窃取寻求逃离敌对行动的个人的个人和财务信息。
![Figure 1. WhoIs record for “lineageembraer[.]online”.](https://hackbyte.io/imgs/grfbrrxipel703.jpeg "Figure 1. WhoIs record for “lineageembraer[.]online”.")
图1.“lineageembraer[.]online”的WhoIs 记录。
该域名之所以引人注目，是因为它引用了巴西著名的航空航天制造商巴西航空工业公司(Embraer)。 “Lineage”名称指的是巴西航空工业公司Lineage 1000 和1000E，它们是来自该公司E190 商用客机平台的公务机。虽然这些飞机被宣传为贵宾运输，但相对稀有，运营成本昂贵，并且通常与航空公司、包机公司或高净值个人使用相关。这使得该域名在紧急疏散服务中的使用尤其可疑。
![Figure 2. Landing page for “lineageembraer[.]online”.](https://hackbyte.io/imgs/54juqwgvdte704.jpeg "Figure 2. Landing page for “lineageembraer[.]online”.")
图2.“lineageembraer[.]online”的登陆页面。
登陆页面包括一个显眼的“立即预订”按钮，为用户提供2,166 美元的座位。共有18 个可用座位，大致相当于巴西航空工业公司Lineage 1000 或1000E 的载客量。
在页脚中，显示以下旅行详细信息:
出发: 2025 年6 月26 日
特拉维夫– 本古里安至纽约– 泰特波罗座位极其有限
还显示了一个标记为“指令[原文如此]”的附加按钮，下面将对此进行介绍。
![Figure 3. Start of the certificate chain for “lineageembraer[.]online”.](https://hackbyte.io/imgs/nry2oyjauhb705.jpeg "Figure 3. Start of the certificate chain for “lineageembraer[.]online”.")
图3.“lineageembraer[.]online”证书链的开始。
值得注意的是，页面页脚提到了6 月26 日的出发日期，即2025 年6 月24 日停火生效两天后。这表明该网站的运营商要么忽视了停火，要么认为一些人可能仍然出于安全或个人原因寻求离开该地区。虽然仅凭这一点并不能证实恶意意图，但它增加了整体怀疑。
单击“立即预订”按钮将启动发送至lineageembraer[@]gmail[.]com 的mailto: 操作。没有开源情报将该电子邮件地址链接到任何合法实体，并且它似乎只是为了匹配假域名而创建的。
单击“说明[原文如此]”按钮会触发下载包含旅行说明的PDF。有趣的是，该文件托管在Shopify CDN（内容交付网络）上，这对于合法航空或包机服务来说是一个不寻常的选择。该文件位于:
hXXps://cdn.shopify.com/s/files/1/0945/8889/5563/files/Special_Mission_Flight_Embraer_Lineage_1000E.pdf?v=1750688015
使用商业基础设施（例如Shopify 的CDN）来提供高价的国际包机服务进一步损害了该网站的可信度。
图4. 说明。
如图4 所示，该网站提供了看似“高级”的疏散服务。虽然列出的邮政编码和城市（英国布里斯托尔）是真实的，但缺少房屋或建筑号码会引发危险信号。该邮政编码对应一个只有十几户住宅的小型住宅区，因此它不太可能成为国际包机服务的合法运营基地。
该航班的广告称从特拉维夫的本古里安机场出发，抵达泰特波罗机场，但该网站错误地将泰特波罗机场列为纽约。事实上，泰特波罗距美国新泽西州曼哈顿约12 英里（19.3 公里）。
为了完成预订，系统会提示用户提交个人详细信息，包括姓名、地址和护照号码，并附上付款说明，具体取决于运营商确定请求者是“认真的”。这种审查方法可能会在有选择地收集高价值身份数据的同时产生一种错误的合法性感觉。
此次飞行宣传的飞机型号为Lineage 1000E，极为罕见。在巴西航空工业公司于2019 年停止生产该型号飞机之前，只生产了不到十几架。虽然其中一些配置用于VIP 运输，但在地区冲突期间短时间内获得一架飞机的可能性极小。
运营限制也引发了质疑。 Lineage 1000E的最大航程约为4,600海里，而从特拉维夫到泰特波罗的直接距离约为5,700海里。这将需要至少一站加油，从而使所声称的不间断疏散飞行的可行性变得复杂。
最后，每个座位2,166 美元的广告价格对于所谓的高端包机而言低得不切实际。相比之下，2025 年7 月3 日星期四从特拉维夫飞往纽约的商业头等舱机票价格在5,085 英镑（约合6,976.70 美元）至6,014 英镑（约合8,251.30 美元）之间。定价的明显差异引发了人们对此次发行的合法性的严重怀疑，并强烈表明存在欺诈意图。
图5. Google 搜索显示可比较的航班费用。
虽然这种价格差距很难被忽视，但当你考虑到实际包机的成本时，它就变得更加不现实。根据我们的研究，在这样的长途航线上驾驶Lineage 1000E 通常每个座位的费用远远超过10,000 美元。其中包括燃料、机组人员、着陆费以及在危机期间采购稀有飞机所涉及的溢价。
提供2,166 美元的席位只有在政府、非政府组织或企业赞助商的大力支持下才可行，而这些机构都不在场。由于没有明显的从属关系或可信的背景，该服务似乎是一个精心设计的骗局。所有迹象都表明存在欺诈行为，旨在窃取个人数据或在压力下从个人身上榨取金钱。
如果您认为此威胁或任何其他网络安全威胁已影响您的组织，请联系我们的全球FortiGuard 事件响应团队。
hXXps://cdn.shopify.com/s/files/1/0945/8889/5563/files/Special_Mission_Flight_Embraer_Lineage_1000E.pdf?v=1750688015
2025年6月13日，以色列针对伊朗军事领导层、常规军事基地、防空系统和核基础设施发起了全面的先发制人行动。该活动被以色列政府和军方称为“崛起之狮行动”。上个月，Fortinet 发表了一篇博客，详细介绍了最近这场冲突所凸显的网络战的新现实。
随后两国之间进行了为期12天的相互打击和反击，造成了重大损失，并给夹在中间的平民造成了广泛的恐惧和不确定性。在美国介入“午夜之锤”行动后，双方宣布停火，并一直维持至今。
2025 年全球威胁形势报告
使用此报告可以了解最新的攻击者策略，评估您的暴露情况，并在下一次攻击攻击您的环境之前确定采取行动的优先顺序。
立即下载
在此之后，FortiGuard 实验室发现了似乎是利用这场危机的企图。威胁行为者利用对再次发生暴力的恐惧，发起了网络钓鱼活动，以窃取寻求逃离敌对行动的个人的个人和财务信息。
初步发现
FortiGuard Labs 工具检测到域名“lineageembraer[.]online”于2025 年6 月22 日注册。该域名似乎在此后不久就上线了。
图1.“lineageembraer[.]online”的WhoIs 记录。
该域名之所以引人注目，是因为它引用了巴西著名的航空航天制造商巴西航空工业公司(Embraer)。 “Lineage”名称指的是巴西航空工业公司Lineage 1000 和1000E，它们是来自该公司E190 商用客机平台的公务机。虽然这些飞机被宣传为贵宾运输，但相对稀有，运营成本昂贵，并且通常与航空公司、包机公司或高净值个人使用相关。这使得该域名在紧急疏散服务中的使用尤其可疑。
着陆页
经检查，该网站显示了商务飞机尾部和发动机舱的图像，并附有写有“特殊任务”的横幅。
图2.“lineageembraer[.]online”的登陆页面。
登陆页面包括一个显眼的“立即预订”按钮，为用户提供2,166 美元的座位。共有18 个可用座位，大致相当于巴西航空工业公司Lineage 1000 或1000E 的载客量。
在页脚中，显示以下旅行详细信息:
出发: 2025 年6 月26 日
特拉维夫– 本古里安至纽约– 泰特波罗座位极其有限
还显示了一个标记为“指令[原文如此]”的附加按钮，下面将对此进行介绍。
深入挖掘
该证书是使用Google Trust Services 生成的，似乎仅在上线日期和时间到2025 年9 月20 日期间有效。
图3.“lineageembraer[.]online”证书链的开始。
值得注意的是，页面页脚提到了6 月26 日的出发日期，即2025 年6 月24 日停火生效两天后。这表明该网站的运营商要么忽视了停火，要么认为一些人可能仍然出于安全或个人原因寻求离开该地区。虽然仅凭这一点并不能证实恶意意图，但它增加了整体怀疑。
单击“立即预订”按钮将启动发送至lineageembraer[@]gmail[.]com 的mailto: 操作。没有开源情报将该电子邮件地址链接到任何合法实体，并且它似乎只是为了匹配假域名而创建的。
单击“说明[原文如此]”按钮会触发下载包含旅行说明的PDF。有趣的是，该文件托管在Shopify CDN（内容交付网络）上，这对于合法航空或包机服务来说是一个不寻常的选择。该文件位于:
hXXps://cdn.shopify.com/s/files/1/0945/8889/5563/files/Special_Mission_Flight_Embraer_Lineage_1000E.pdf?v=1750688015
使用商业基础设施（例如Shopify 的CDN）来提供高价的国际包机服务进一步损害了该网站的可信度。
图4. 说明。
如图4 所示，该网站提供了看似“高级”的疏散服务。虽然列出的邮政编码和城市（英国布里斯托尔）是真实的，但缺少房屋或建筑号码会引发危险信号。该邮政编码对应一个只有十几户住宅的小型住宅区，因此它不太可能成为国际包机服务的合法运营基地。
该航班的广告称从特拉维夫的本古里安机场出发，抵达泰特波罗机场，但该网站错误地将泰特波罗机场列为纽约。事实上，泰特波罗距美国新泽西州曼哈顿约12 英里（19.3 公里）。
为了完成预订，系统会提示用户提交个人详细信息，包括姓名、地址和护照号码，并附上付款说明，具体取决于运营商确定请求者是“认真的”。这种审查方法可能会在有选择地收集高价值身份数据的同时产生一种错误的合法性感觉。
进一步分析
报价中的后勤和财务不一致进一步支持了以下结论：这不是合法服务。此次飞行宣传的飞机型号为Lineage 1000E，极为罕见。在巴西航空工业公司于2019 年停止生产该型号飞机之前，只生产了不到十几架。虽然其中一些配置用于VIP 运输，但在地区冲突期间短时间内获得一架飞机的可能性极小。
运营限制也引发了质疑。 Lineage 1000E的最大航程约为4,600海里，而从特拉维夫到泰特波罗的直接距离约为5,700海里。这将需要至少一站加油，从而使所声称的不间断疏散飞行的可行性变得复杂。
最后，每个座位2,166 美元的广告价格对于所谓的高端包机而言低得不切实际。相比之下，2025 年7 月3 日星期四从特拉维夫飞往纽约的商业头等舱机票价格在5,085 英镑（约合6,976.70 美元）至6,014 英镑（约合8,251.30 美元）之间。定价的明显差异引发了人们对此次发行的合法性的严重怀疑，并强烈表明存在欺诈意图。
图5. Google 搜索显示可比较的航班费用。
虽然这种价格差距很难被忽视，但当你考虑到实际包机的成本时，它就变得更加不现实。根据我们的研究，在这样的长途航线上驾驶Lineage 1000E 通常每个座位的费用远远超过10,000 美元。其中包括燃料、机组人员、着陆费以及在危机期间采购稀有飞机所涉及的溢价。
提供2,166 美元的席位只有在政府、非政府组织或企业赞助商的大力支持下才可行，而这些机构都不在场。由于没有明显的从属关系或可信的背景，该服务似乎是一个精心设计的骗局。所有迹象都表明存在欺诈行为，旨在窃取个人数据或在压力下从个人身上榨取金钱。
结论
不幸的是，历史表明，即使在冲突时期，总有人愿意利用恐惧和绝望。在这种情况下，所有指标都强烈表明这是企图窃取身份数据、财务详细信息，甚至可能窃取寻求逃离不稳定局势的个人的资金。Fortinet 保护
FortiGuard IP 信誉和反僵尸网络安全服务通过聚合来自Fortinet 分布式网络的威胁传感器、CERT、MITRE、合作竞争对手和其他全球来源的恶意源IP 数据来主动阻止这些攻击，这些来源协作提供有关敌对来源的最新威胁情报。如果您认为此威胁或任何其他网络安全威胁已影响您的组织，请联系我们的全球FortiGuard 事件响应团队。
IOC
基于网络的 IOC
hXXps://lineageembraer[.]在线hXXps://cdn.shopify.com/s/files/1/0945/8889/5563/files/Special_Mission_Flight_Embraer_Lineage_1000E.pdf?v=1750688015
