NameSilo

Wichtigste Ergebnisse

• 5.666 bestätigte Phishing-Domains bei einem Registrar mit insgesamt 5,25 Millionen Registrierungen. Zwar liegt die absolute Phishing-Rate von NameSilo (rund 0,07 %) unter der von NiceNIC, doch die Konzentration innerhalb identifizierbarer Registranten-Cluster zeichnet ein anderes Bild: 1.344 Konten von Serienterregistranten sind für den überwiegenden Teil der aufgedeckten Phishing-Infrastruktur verantwortlich.
• Das Kernproblem sind Gruppen von Seriennummern-Registranten. Unsere Analyse ergab 1.344 verschiedene Registrantenprofile, die jeweils mehrere bestätigte Phishing-Domains registriert haben. Diese Konten weisen einheitliche Muster auf: ähnliche Kontaktdaten, gemeinsame Zahlungsmethoden, die sich aus dem Zeitpunkt der Registrierung ableiten lassen, sowie aufeinander abgestimmte Ablaufzyklen der Domains, die das operative Zeitfenster maximieren und gleichzeitig die Kosten für die Aufdeckung minimieren. Die Maßnahmen zur Kontoüberprüfung bei NameSilo reichen nicht aus, um dieses Muster zu erkennen oder zu verhindern.
• 32,2 % der gescannten Domains sind nicht mehr aktiv. Eine Rate an inaktiven Domains von über 30 % deutet auf eine „Churn-and-Burn“-Registrierungsstrategie hin, die im Kundenstamm von NameSilo fest etabliert ist. Registranten richten Phishing-Infrastrukturen ein, schöpfen deren Wert innerhalb weniger Tage oder Wochen aus und lassen sie dann im Stich. Die hohe Quote inaktiver Domains ist kein Zufall – sie ist das Kennzeichen eines missbräuchlichen Geschäftsmodells, das durch die Preisstruktur von NameSilo wirtschaftlich rentabel wird.
• Missbrauchsmeldungen wurden eingereicht, die Löschungen wurden jedoch nicht durchgeführt. PhishDestroy und Partnerorganisationen haben dokumentierte Missbrauchsmeldungen zu Hunderten von bei NameSilo registrierten Phishing-Domains eingereicht. Die Reaktionszeiten sind uneinheitlich, und ein erheblicher Anteil der gemeldeten Domains bleibt auch Tage nach der Bestätigung der Meldungen weiterhin online. Gegen Wiederholungstäter wurden offenbar keine Maßnahmen auf Kontoebene ergriffen.
• Die Untersuchung löste eine Gegenbeschwerde auf Twitter aus. Nach der Veröffentlichung des ersten NameSilo-Berichts und der öffentlichen Verbreitung auf X reichte NameSilo bei Twitter eine Beschwerde ein, in der behauptet wurde, der Account „PhishDestroy“ habe gegen die Plattformregeln verstoßen. Das „Trust and Safety“-Team von X prüfte die Beschwerde und aktivierte den Account wieder, da es keinen Verstoß feststellen konnte. Diese Abfolge von Ereignissen – ein Registrar, der sich bei einer sozialen Plattform beschwert, um die Veröffentlichung eines Sicherheitsforschers zu unterbinden – ist dokumentiert und archiviert.
• Der Status als börsennotiertes Unternehmen bedeutet nicht automatisch, dass man Rechenschaft ablegen muss. Durch die Notierung von NameSilo an der NASDAQ (Ticker: URL) unterliegt das Unternehmen den Offenlegungspflichten der SEC und der Kontrolle durch die öffentlichen Aktionäre. Dennoch hat der Missbrauch von Phishing-Domains auf der Plattform während des Untersuchungszeitraums unvermindert angehalten. Das Beweismaterialarchiv ist so strukturiert, dass es für die Investor-Relations-Arbeit und die Übermittlung an die Aufsichtsbehörden genutzt werden kann, sollten weitere Maßnahmen erforderlich werden.

Live-Erkennungs-Feed

Die neuesten von PhishDestroy erkannten NameSilo-Phishing-Domains. Wird laufend aktualisiert.

Beweismittel und damit verbundene Ermittlungen