درباره PhishDestroy: مأموریت، تیم و روش‌شناسی

یک نکته پیش از هر چیز: ما به دنبال قدردانی، شناخته‌شدن، روابط عمومی یا گسترش مخاطب نیستیم. دیده‌شدن تنها به دو دلیل برای ما اهمیت دارد — تحت فشار قرار دادن ثبت‌کننده‌هایی که ایمیل‌های معمولی مربوط به سوءاستفاده را نادیده می‌گیرند، و مستندسازی دائمی موقعیت واقعی آن‌ها در هنگام انتخاب بی‌تحرکی.

حریفان ما

حریفان ما کلاهبرداران هستند. ما اغلب آن‌ها را ناکارآمد و فاقد خلاقیت می‌نامیم و بر این موضع پافشاری داریم. اما هرگز از منابعشان دست‌کم نمی‌گیریم. زیرساخت‌هایی که از کلاهبرداری‌ها سود می‌برند، به سرمایه و نفوذ قابل‌توجهی دسترسی دارند و موشی که به دیوار بچسبد، هر کاری از دستش برمی‌آید: وجوه سرقت‌شده صرف تخریب سایت‌های مستندساز، حملات به پژوهشگران، انتشار اطلاعات نادرست، تلاش‌های تخریبی، اتهامات ساختگی و دروغ‌های مطلق می‌شود.

چرا صفر پول — نه حتی یک دلار

فیش‌دسترویر، همواره و به‌طور مطلق، غیرتجاری است: بدون کسب سود، بدون تبلیغات، بدون خدمات پولی و بدون کمک‌های مالی وابسته به نتایج. این یک آرمان‌گرایی نیست، بلکه یک ضرورت برای بقاست.

• سبک ما تهاجمی و مستقیم است. هرگونه وابستگی مالی فوراً به‌عنوان سلاح علیه ما به کار گرفته خواهد شد.
• هیچ‌کس وقتی درست می‌گوییم، متوجه نمی‌شود، اما هر مثبت کاذب علیه ما بزرگ‌نمایی خواهد شد. منافع تجاری هر اشتباه را به یک تهدد وجودی تبدیل می‌کنند.
• استقلال تنها زره واقعی ماست. وقتی یک ثبت‌کننده دامنه مانند NameSilo تهدید به طرح دعوای حقوقی می‌کند، آن را با درآمد ۶۰ میلیون دلاری مقایسه نمی‌کنیم؛ صرفاً آینه IPFS خود را به‌روزرسانی کرده و کارمان را ادامه می‌دهیم.

شفافیت رادیکال

ما در همه‌چیز به‌دنبال حداکثر شفافیت هستیم؛ گزارش‌هایمان، منطق تشخیص تهدیدات، فرآیند اعتراض، حجم اعتراضات و نتایج آن‌ها. می‌دانیم که در نهایت همه‌ی این موارد توسط ثبت‌کننده‌ها برای توجیه بی‌تحرکی‌شان علیه ما به کار گرفته خواهد شد. خوب. بگذارید سوابق حرف بزنند.

ما اشتباه می‌کنیم و از اعتراف به آن‌ها نمی‌ترسیم. ما یک نفر نیستیم؛ ما یک مأموریت مشترک هستیم: تخریب زیرساخت‌های فیشینگ و کلاهبرداری، چه توسط گروه‌های روسی، نیجریه‌ای یا ترکیه‌ای اداره شوند. ملیت بی‌اهمیت است. کلاهبرداری، کلاهبرداری است.

ارزش واقعی: شواهد

ما معتقدیم مشارکت اصلی ما، پایه و اساس شواهد است. مواردی به سادگی یک اسکن سایت، یک اسنپ‌شات از آرشیوب وب، یا گزارشی که به یک ارائه‌دهنده نرم‌افزار ضدویروس ارسال می‌شود، قدرت واقعی دارند:

• می‌تواند به‌عنوان مدرک برای نهادهای قانون‌گذاری به کار رود.
• می‌تواند به‌عنوان یک قالب نشانه‌های سرریز (IOC) برای جامعه امنیت سایبری مورد استفاده قرار گیرد.
• می‌تواند به شناسایی هویت مجرم کمک کند.
• می‌تواند اثبات کند که ثبت‌کننده (Registrar) از ماهیت مخرب یک وب‌سایت آگاه بوده و با این حال، عمداً توافق‌نامه ICANN خود را نقض کرده است.

موردنظران شایسته‌اند که ببینند ثبت‌کننده (Registrar) از تهدید آگاه شده و آن را نادیده گرفته است.

کلاهبرداران از شما علیه رقبای خود استفاده می‌کنند

آیا کلاهبرداران رقبای خود را به ما گزارش می‌دهند؟ احتمالاً بله — نمی‌توانیم با قطعیت بگوییم. اما این موضوع را به‌طور منطقی بررسی کنید. وقتی یک سایت کلاهبرداری وارد خط لوله (Pipeline) ما می‌شود، صرفاً آن را مسدود نمی‌کنیم؛ بلکه اثر انگشت دیجیتال آن را استخراج می‌کنیم، تحلیل جابه‌جایی دامنه (با استفاده از dnstwist) را اجرا می‌کنیم و آن را به پارسرهای خودکار می‌سپاریم که پوشش‌دهنده‌ی مسموم‌سازی سئو (SEO Poisoning)، سوءاستفاده از تبلیغات گوگل (Google Ads Abuse) و سایر کانال‌های توزیع هستند. بنابراین بله — استفاده از ما برای نابودی رقیب، انتخابی عالی است. اما وقتی شما یک سایت کاملاً مشابه را برای جایگزینی آن‌ها استقرار می‌دهید، در همان پایگاه داده ثبت می‌شوید. منطق در هر دو حالت برقرار است.

سوءاستفاده از سیستم ما — و نحوه رفع آن

مشکلات واقعی وجود داشت. سرویس‌های «حذف به‌عنوان‌سفارش» از خط لوله ما سوءاستفاده می‌کردند تا به سایت‌های قمار و رقبای استرس‌ر (stresser) حمله کنند. ما سیستم را بازسازی کردیم و آن کاربران را مسدود نمودیم:

• ما ادعای تخصص در قمار مشروع را نداریم — اما قمار کلاهبرداری مسدود می‌شود.
• گزارش‌های مربوط به سایت‌های قمار تنها در صورتی پردازش می‌شوند که توسط تشخیص‌های آنتی‌ویروس یا ورودی‌های فهرست‌های مسدودسازی شرکا تأیید شده باشند.
• کاربرانی که مکرراً تنها چنین سایت‌هایی را ارسال می‌کنند، ابتدا اخطار و سپس ممنوعیت دریافت می‌کنند.

منطق سیستم به‌طور قابل‌توجهی بالغ و تکامل یافته است. نه یک مدیر و نه یک کاربر مورد اعتماد نمی‌توانند، به‌عنوان مثال، صرافی کویین‌بیس را ثبت کنند و فرآیند پردازش آن را آغاز کنند. ما یک لایه هوش مصنوعی قدرتمند و کتابخانه‌ای گسترده از اثرات انگشت تهدیدها ساخته‌ایم و سیستم به‌طور مداوم در حال یادگیری است؛ شکاف‌های موجود را شناسایی کرده و برای پر کردن آن‌ها تلاش می‌کند. کلاهبرداران همیشه تلاش خواهند کرد تا از کنترل‌ها عبور کنند. این امر پیش‌بینی‌شده است.

تأثیر قابل اندازه‌گیری

حتی اگر صرفاً بر اساس هزینه‌های دامنه‌های مسدودشده سنجیده شود، خسارتی که به عملیات کلاهبرداری وارد کرده‌ایم قابل‌توجه است. مهم‌تر از آن: دوران بقای دامنه‌های فیشینگ به مدت سال‌ها، در تقریباً کل فضای رمزارزها به‌طور مؤثری به پایان رسیده است — تمام کلیدواژه‌های اصلی و تمام الگوهای برجسته سوءاستفاده از برند.

از تیر ۱۴۰۴، ما پروژه را واقعاً عمومی کرده‌ایم: یک وب‌سایت واقعی به‌جای یک صفحه فرود شوخی، یک مخزن باز، و فرآیندهای مستند شده — همه‌چیز به‌گونه‌ای ساخته شده که هر کسی، به‌ویژه قربانیان، بتوانند آنچه رخ داده و چه کسی چه چیزی را نادیده گرفته، تأیید کنند.

درگیر شوید

این پروژه همچنان در حال رشد است و امیدواریم مفید واقع شود. اگر ایده‌هایی برای بهبود پروژه یا ابزارهای آن دارید، یک Issue در GitHub یا از طریق سامانه‌ی تیکت‌های ما بات تلگرامهر پرسشی، هر پیشنهادی. ما یک نهاد غیرتجاری هستیم، اما به‌طور فعال با هرکسی که هدف مشترک ما را می‌پذیرد — ایمن‌تر کردن اینترنت — همکاری می‌کنیم.