हर उस घोटाले के पीछे का छलावरण इंजन जिसे आपने कभी नहीं देखा। PhishDestroy ने 50,000+ साइटों को स्कैन किया, 1,565 Keitaro TDS एडमिन पैनल खोजे, और कोई भी वैध तैनाती नहीं मिली। हर एक पैनल क्रिप्टो धोखाधड़ी, फ़िशिंग, मैलवेयर वितरण, या इससे भी बदतर से जुड़ा था। क्लाइंट्स में EvilCorp, LockBit रैनसमवेयर, और VexTrio शामिल हैं। ओपन-सोर्स डिटेक्शन टूलकिट, 7-पॉइंट मेथडोलॉजी, और पूरा पैनल CSV अब जारी कर दिया गया है।
~10 मिनट का पठन· अद्यतन किया गया मार्च २०२६· फिश को नष्ट करो खुफिया जानकारी
1,565 पैनल मिले100% दुर्भावनापूर्ण दर7 पता लगाने के तरीके4 उपकरण जारी
0
प्रशासन पैनल पाए गए
50,000+
स्कैन की गई साइटें
0%
वैध उपयोग
7
खोजने के तरीके
कीतारो टीडीएस क्या है?
केइतारो टीडीएस एक वाणिज्यिक ट्रैफ़िक वितरण प्रणाली है जिसे द्वारा बेचा जाता है। अपलीतेनी ओयू, एक कंपनी जो में पंजीकृत है एस्टोनिया. सतह पर यह खुद को एफिलिएट मार्केटर्स के लिए ट्रैफ़िक प्रबंधन उपकरण के रूप में प्रस्तुत करता है। व्यवहार में, यह वैश्विक घोटाला पारिस्थितिकी तंत्र में सबसे व्यापक रूप से तैनात क्लोकिंग इंजन है।
क्लोकिंग विभिन्न आगंतुकों को अलग-अलग सामग्री दिखाने की कला है। जब कोई सुरक्षा शोधकर्ता, विज्ञापन समीक्षक, या कानून प्रवर्तन अधिकारी किसी URL पर जाता है, तो Keitaro उन्हें पहचान लेता है और एक साफ़-सुथरा, निर्दोष पृष्ठ दिखाता है। जब कोई असली पीड़ित उसी URL पर जाता है, तो उसे क्रिप्टो घोटालों, फ़िशिंग पेजों, मैलवेयर डाउनलोड या धोखाधड़ी वाली ई-कॉमर्स साइटों पर रीडायरेक्ट कर दिया जाता है। पीड़ित कभी भी साफ़ संस्करण नहीं देखता। विश्लेषक कभी भी घोटाला नहीं देखता।
केइतारो की कीमतें से लेकर €40 से €400 प्रति माह, इसे उद्यम-स्तरीय धोखाधड़ी अवसंरचना के रूप में स्थापित करते हुए। यह आगंतुक डेटा को अधिकतम तक संग्रहीत करता है 9.75 वर्ष, जिससे ऑपरेटरों को पीड़ितों के फिंगरप्रिंट, भौगोलिक डेटा और व्यवहारिक प्रोफाइल का एक विशाल डेटासेट मिलता है। यह सारा डेटा पर संग्रहीत है AWS अवसंरचना, जिसका अर्थ है कि अमेज़ॅन अनजाने में हजारों घोटाला संचालनों के लिए बैकएंड की मेजबानी कर रहा है।
निगम शेल
अपलीतेनी ओयू एस्टोनिया से संचालित होता है, जो देश के ई-रेजिडेंसी कार्यक्रम और अनुकूल कॉर्पोरेट गोपनीयता कानूनों का लाभ उठाता है। कंपनी पेशेवर मार्केटिंग, दस्तावेज़ीकरण और ग्राहक सहायता के माध्यम से वैधता का दिखावा बनाए रखती है — जबकि उनके उत्पाद की हर मापनीय तैनाती आपराधिक गतिविधि से जुड़ी होती है। वे €40–400 प्रति माह चार्ज करते हैं, जो प्रभावी रूप से एक स्कैम-एज़-ए-सर्विस प्लेटफ़ॉर्म है और लगभग एक दशक तक डेटा संग्रहीत रखता है।
संख्याएँ: 1,565 पैनल, शून्य वैध
PhishDestroy की जांच एक सरल परिकल्पना के साथ शुरू हुई: यदि Keitaro TDS के वैध उपयोग हैं, तो हमें उन्हें बड़े पैमाने पर खोजना चाहिए। हमने स्कैन किया ५०,०००+ साइटें स्वचालित उपकरणों और मैनुअल सत्यापन के संयोजन का उपयोग करते हुए, विशेष रूप से केइतारो टीडीएस फिंगरप्रिंट्स की तलाश की गई। जो हमने पाया वह स्पष्ट था।
1,565 सक्रिय केइतारो एडमिन पैनल खोजे गए। हमने हर एक का विश्लेषण किया। परिणाम: कोई वैध तैनाती नहींएक भी पैनल वैध एफिलिएट मार्केटिंग, A/B परीक्षण या किसी अन्य हानिरहित उद्देश्य के लिए उपयोग नहीं किया जा रहा था। हर पैनल — 100% — आपराधिक गतिविधि से जुड़ा था।
1,565
सक्रिय पैनल
100%
दुर्भावनापूर्ण दर
50 हजार से अधिक
स्कैन की गई साइटें
9.75 साल
अधिकतम डेटा प्रतिधारण
दुर्व्यवहार श्रेणियों का विवरण
1,565 पैनलों को छह प्राथमिक शोषण श्रेणियों में वितरित किया गया था। कई पैनलों ने एक साथ कई श्रेणियों में सेवा प्रदान की, और भूगोल, डिवाइस या दिन के समय के आधार पर पीड़ितों को विभिन्न घोटाला प्रकारों की ओर निर्देशित करने के लिए कीटारो के ट्रैफ़िक रूटिंग का उपयोग किया।
दुर्व्यवहार श्रेणी
विवरण
क्रिप्टो घोटाले
नकली निवेश प्लेटफ़ॉर्म, वॉलेट खाली करने वाले, पिग-बुटचरी लैंडिंग पेज
फ़िशिंग
बैंकों, ईमेल प्रदाताओं, सोशल मीडिया के लिए प्रमाण-पत्र संग्रहण
बिना लाइसेंस वाले कैसीनो, फिक्स किए गए सट्टेबाजी प्लेटफ़ॉर्म, जमा चोरी
पद्धति संबंधी टिप्पणी
प्रत्येक पैनल को वर्गीकृत करने से पहले कम से कम दो स्वतंत्र पता लगाने वाली विधियों द्वारा सत्यापित किया गया था। झूठी सकारात्मकताओं की मैन्युअल समीक्षा की गई और उन्हें बाहर रखा गया। 1,565 की संख्या केवल पुष्टि की गई, सक्रिय Keitaro इंस्टॉलेशनों का प्रतिनिधित्व करती है — अतिरिक्त सुरक्षा परतों के पीछे मौजूद इंस्टॉलेशनों सहित वास्तविक तैनाती की संख्या निश्चित रूप से अधिक है।
अपराधी मुवक्किलों की हाज़िरी
Keitaro TDS का उपयोग केवल छोटे-मोटे ठग ही नहीं करते। यह ग्रह पर मौजूद कुछ सबसे खतरनाक साइबर अपराधी संगठनों की छद्म संरचना है। यहाँ दस्तावेजीकृत ग्राहक हैं:
ईविलकॉर्प
प्रतिबंधित रूसी साइबर अपराध सिंडिकेट Keitaro का उपयोग अंतरराष्ट्रीय प्रतिबंधों को तोड़ने के लिए करता है। Keitaro के ट्रैफ़िक वितरण के पीछे अपने संचालन को छिपाकर, EvilCorp उन सुरक्षा नियंत्रणों को चकमा देता है जिन्हें उन्हें बंद करने के लिए बनाया गया था। Keitaro के माध्यम से रूट किया गया प्रत्येक क्लिक Apliteni OU के सॉफ़्टवेयर द्वारा सक्षम प्रतिबंध उल्लंघन है।
लॉकबिट रैनसमवेयर
LockBit रैनसमवेयर समूह ने मैलवेयर वितरण के लिए Keitaro का उपयोग किया, इसकी क्लोकिंग क्षमताओं का लाभ उठाकर यह सुनिश्चित किया कि केवल असली लक्ष्यों को रैनसमवेयर पेलोड प्राप्त हों, जबकि सुरक्षा सैंडबॉक्स और शोधकर्ताओं को हानिरहित सामग्री दिखाई दे। Keitaro ने इतिहास के सबसे विनाशकारी रैनसमवेयर अभियानों में से एक की क्षमता को कई गुना बढ़ा दिया।
वेक्सट्रियो
ज्ञात केइतारो का सबसे बड़ा ग्राहक। VexTrio के साथ संचालित होता है 60+ संबद्ध और नियंत्रण ८६,८३२+ डोमेन, सभी ट्रैफ़िक को कीटारो के वितरण इंजन के माध्यम से मोड़ रहे हैं। यह एकल संचालन इंटरनेट के दुर्भावनापूर्ण विज्ञापन ट्रैफ़िक का एक विशाल हिस्सा दर्शाता है, और कीटारो वह रीढ़ है जो इसे अदृश्य बनाए रखती है।
क्लियरफेक
ClearFake समझौता किए गए वेबपेजों में नकली ब्राउज़र अपडेट प्रॉम्प्ट्स इंजेक्ट करता है, जब पीड़ित "अपडेट" पर क्लिक करते हैं तो मैलवेयर डिलीवर होता है। Keitaro की क्लोकिंग यह सुनिश्चित करती है कि केवल असली विज़िटर ही इस दुर्भावनापूर्ण ओवरले को देखें — सुरक्षा स्कैनर मूल, स्वच्छ वेबसाइट ही देखें। परिणाम: लगभग शून्य डिटेक्शन दर के साथ मैलवेयर डिलीवरी।
नकली चमगादड़
FakeBat एक मैलवेयर लोडर है जिसे दुर्भावनापूर्ण विज्ञापन अभियानों के माध्यम से वितरित किया जाता है। Keitaro विज्ञापन ट्रैफ़िक को एक निर्णय इंजन के माध्यम से मार्गित करता है: सुरक्षा उपकरणों को वैध सॉफ़्टवेयर डाउनलोड पृष्ठों पर रीडायरेक्ट किया जाता है, जबकि वास्तविक उपयोगकर्ताओं को ट्रोजनयुक्त इंस्टॉलर प्रदान किए जाते हैं। Keitaro FakeBat के मालवेर्टिसिंग अभियानों को विज्ञापन प्लेटफ़ॉर्म सुरक्षा टीमों के लिए लगभग अदृश्य बना देता है।
हूबहू हमशक्ल
एक रूसी राज्य-संबंधित भ्रामक सूचना अभियान जो पश्चिमी सोशल मीडिया पर प्रचार फैलाने के लिए केइतारो का उपयोग करता है। केइतारो की भौगोलिक और डिवाइस फिंगरप्रिंटिंग यह सुनिश्चित करती है कि सामग्री मॉडरेटर और तथ्य-जांचकर्ता लक्षित आबादी की तुलना में अलग सामग्री देखें। वाणिज्यिक एस्टोनियाई सॉफ़्टवेयर द्वारा संचालित सूचना युद्ध।
पिछले 18 महीनों में हमने जिन भी प्रमुख साइबर अपराध अभियानों की जांच की, उन सभी में हमें केइतारो के फिंगरप्रिंट मिले। यह कोई संयोग नहीं है — यह अपराधियों के लिए उद्योग मानक है।
— फिशडिस्ट्रॉय रिसर्च टीम
7-बिंदु पहचान पद्धति
इस जांच के दौरान, PhishDestroy ने Keitaro TDS तैनाती की पहचान के लिए सात स्वतंत्र विधियाँ विकसित कीं। प्रत्येक विधि Keitaro द्वारा छोड़े गए एक अलग फिंगरप्रिंट को लक्षित करती है, और ये सभी मिलकर एक व्यापक पहचान ढांचा बनाती हैं, जो अब ओपन-सोर्स टूलिंग के रूप में उपलब्ध है।
1. /click_api/v3 अंतिम बिंदु
क्लिक इवेंट्स को प्रोसेस करने के लिए Keitaro का मुख्य API एंडपॉइंट। यह पथ सॉफ़्टवेयर में हार्डकोड किया गया है और हर इंस्टॉलेशन पर मौजूद है। इस एंडपॉइंट की जांच करना Keitaro डिप्लॉयमेंट की पुष्टि करने का सबसे तेज़ तरीका है। इस पथ पर 200 या 302 रिस्पॉन्स मिलना लगभग निश्चित सकारात्मक पहचान है।
2. _lp / _token / _subid यूआरएल पैरामीटर
केइतारो रीडायरेक्ट चेन के दौरान यूआरएल में विशिष्ट ट्रैकिंग पैरामीटर जोड़ता है। _lp पैरामीटर लैंडिंग पेज की पहचान करता है। _token सत्र प्रमाणीकरण वहन करता है, और _subid उप-सहयोगी स्रोतों को ट्रैक करता है। ये पैरामीटर केवल केइतारो के लिए विशिष्ट हैं और वैध ट्रैफ़िक प्रबंधन प्रणालियों में शायद ही कभी दिखाई देते हैं।
3. केइतारो-विशिष्ट कुकीज़
केइतारो विशिष्ट कुकीज़ सेट करता है ताकि वह विज़िटर सत्रों को ट्रैक कर सके और क्लोकिंग स्थिति बनाए रख सके। ये कुकीज़ मानक एनालिटिक्स प्लेटफ़ॉर्म से अलग नामकरण परंपराओं का पालन करती हैं, जिससे इन्हें ब्राउज़र निरीक्षण या स्वचालित कुकी विश्लेषण के माध्यम से पहचाना जा सकता है।
4. प्रतिक्रिया हेडर पैटर्न
केइतारो के सर्वर प्रतिक्रियाओं में विशिष्ट HTTP हेडर पैटर्न होते हैं, जिनमें विशेष कैश-कंट्रोल निर्देश, कस्टम हेडर और सर्वर पहचान स्ट्रिंग्स शामिल हैं, जो मानक वेब सर्वरों से भिन्न होते हैं। ये हेडर तब भी बने रहते हैं जब ऑपरेटर अपनी इंस्टॉलेशन को अनुकूलित करने का प्रयास करते हैं।
5. जावास्क्रिप्ट रीडायरेक्ट चेन
केइतारो स्कैम दिखाने या क्लीन पेज दिखाने का निर्णय लेने से पहले विज़िटर फिंगरप्रिंट्स का मूल्यांकन करने के लिए बहु-चरणीय जावास्क्रिप्ट रीडायरेक्ट्स लागू करता है। ये रीडायरेक्ट चेन पूर्वानुमेय पैटर्न — विशिष्ट वेरिएबल नाम, समय अनुक्रम, और मूल्यांकन लॉजिक — का पालन करती हैं, जिन्हें स्टैटिक और डायनामिक जावास्क्रिप्ट विश्लेषण के माध्यम से पता लगाया जा सकता है।
विश्व ताप मानचित्र: विश्वभर में 1,565 केइतारो टीडीएस पैनल पाए गए, कोई वैध उपयोग नहीं मिला।
6. डोमेन पैटर्न विश्लेषण
Keitaro ऑपरेटर आमतौर पर पूर्वानुमेय नामकरण परंपराओं और पंजीकरण पैटर्न के अनुसार डोमेन पंजीकृत करते हैं। थोक डोमेन विश्लेषण समान WHOIS डेटा, पंजीकरण तिथियों, नेमसर्वर विन्यासों और होस्टिंग प्रदाताओं वाले डोमेनों के समूहों का खुलासा करता है — ये सभी समन्वित Keitaro तैनाती की ओर इशारा करते हैं।
7. एडमिन पैनल फिंगरप्रिंटिंग
Keitaro एडमिन पैनल ज्ञात पथों पर सुलभ होते हैं और विशिष्ट HTML संरचनाएँ, CSS क्लास नाम, और JavaScript फ़ाइलें लौटाते हैं। भले ही ऑपरेटर डिफ़ॉल्ट लॉगिन URL बदल दें, पैनल का फ्रंटएंड फ्रेमवर्क पहचान योग्य अवशेष छोड़ता है जिन्हें पथ सूचीकरण और सामग्री फिंगरप्रिंटिंग के माध्यम से पता लगाया जा सकता है।
गहराई में रक्षा
कोई भी एकल पहचान विधि पूर्णतः विश्वसनीय नहीं है। कुशल ऑपरेटर व्यक्तिगत फिंगरप्रिंट्स को निष्क्रिय या संशोधित कर सकते हैं। इसलिए 7-बिंदु पद्धति एक परतदार प्रणाली के रूप में कार्य करती है — भले ही कोई ऑपरेटर तीन या चार संकेतों को हटा दे, शेष विधियाँ फिर भी इस तैनाती को चिह्नित करेंगी। हमारे परीक्षण में, प्रत्येक केइतारो पैनल को कम से कम सात में से चार तरीकों से पता लगाया जा सकता था।
वैश्विक अवसंरचना मानचित्र
1,565 केइतारो पैनल एक वैश्विक होस्टिंग इंफ्रास्ट्रक्चर में वितरित हैं, जो सस्ते वीपीएस प्रदाताओं और धीमी दुरुपयोग प्रतिक्रिया समय वाले अधिकारक्षेत्रों को प्राथमिकता देता है। यहाँ पैनल कहाँ स्थित हैं:
क्षेत्र
होस्टिंग प्रदाता
टिप्पणियाँ
संयुक्त राज्य अमेरिका
डिजिटलओशन, वुल्टर
पैनलों का सबसे बड़ा संकेंद्रण। अमेरिका-आधारित होस्टिंग उत्तरी अमेरिकी पीड़ितों के लिए तेज़ प्रतिक्रिया समय प्रदान करती है।
नीदरलैंड्स
विभिन्न वीपीएस
यूरोपीय लक्षित अभियानों के लिए लोकप्रिय। अनुमत होस्टिंग नीतियाँ।
जर्मनी
हेट्ज़नर, विविध
यूरोपीय संघ को लक्षित फ़िशिंग और ई-कॉमर्स धोखाधड़ी अभियानों का प्रमुख केंद्र।
रूस
विभिन्न बुलेटप्रूफ
कई ऑपरेटरों के लिए होम बेस। शून्य दुरुपयोग प्रवर्तन वाले होस्टिंग प्रदाता।
यूनाइटेड किंगडम
विभिन्न बादल
यूके के वित्तीय संस्थानों और सरकारी सेवाओं को लक्षित करने के लिए उपयोग किया जाता है।
हांगकांग
फेमो क्लस्टर
एशियाई लक्षित क्रिप्टो घोटालों से जुड़े पैनलों का एक विशिष्ट समूह। "फेमो क्लस्टर" एक समन्वित समूह के रूप में कार्य करता है।
अमेरिकी प्रभुत्व
संयुक्त राज्य अमेरिका में Keitaro पैनलों का सबसे बड़ा संकेंद्रण है, जो मुख्यतः DigitalOcean और Vultr पर स्थित हैं। ये मुख्यधारा के क्लाउड प्रदाता हैं जो दुरुपयोग रिपोर्टों को संसाधित करते हैं — लेकिन डिप्लॉयमेंट्स की संख्या और ऑपरेटरों द्वारा नए इंस्टेंस शुरू करने की गति इतनी तेज है कि दुरुपयोग टीमों को लगातार पीछे भागते रहना पड़ता है।
फेमो क्लस्टर
हांगकांग के बुनियादी ढांचे से संचालित केइतारो पैनलों का एक विशिष्ट समूह, जो एशियाई बाजारों में क्रिप्टो घोटालों और जुआ धोखाधड़ी को लक्षित कर रहा है। "फेमो क्लस्टर" समन्वित तैनाती पैटर्न दिखाता है, जो दर्जनों पैनलों को एक साथ प्रबंधित करने वाले एकल ऑपरेटर या संगठित समूह का संकेत देता है।
एडब्ल्यूएस बैकएंड
चाहे फ्रंटएंड पैनल कहीं भी होस्ट किए गए हों, केइतारो का मुख्य डेटा भंडारण चलता है अमेज़न वेब सर्विसेज़ (एडब्ल्यूएस)इसका मतलब है कि आगंतुकों के फिंगरप्रिंट, रीडायरेक्ट लॉग और लक्षित डेटा, जो संभावित रूप से लाखों घोटाला पीड़ितों का है, अमेज़न के इन्फ्रास्ट्रक्चर पर मौजूद हैं। 9.75 साल तक डेटा बनाए रखने के साथ, AWS मौजूद सबसे बड़े घोटाला पीड़ित डेटाबेस में से एक को होस्ट कर रहा है।
ओपन-सोर्स टूल्स जारी
इस जांच के साथ-साथ, PhishDestroy एक संपूर्ण ओपन-सोर्स डिटेक्शन टूलकिट जारी कर रहा है। प्रत्येक टूल मुफ्त है, किसी API कुंजी की आवश्यकता नहीं है, और इसे तुरंत तैनात किया जा सकता है। 1,565 पैनलों का पूरा डेटासेट शामिल है।
सभी उपकरण, डेटा और साक्ष्य यहाँ प्रकाशित हैं। phishdestroy.github.io/ScamIntelLogs/keitaro/यह रिपॉजिटरी सार्वजनिक है और जैसे ही नए पैनल खोजे जाएंगे, इसे अपडेट किया जाएगा। सामुदायिक योगदान और अतिरिक्त पता लगाने की विधियाँ स्वागत हैं।
पहचानें, रिपोर्ट करें, ध्वस्त करें
हमने केइतारो टीडीएस पैनलों का पता कैसे लगाया — फिंगरप्रिंटिंग पद्धति केइतारो टीडीएस ट्रैफ़िक प्रवाह — कैसे दुर्भावनापूर्ण पैनल पीड़ितों को पुनर्निर्देशित करते हैं
Keitaro TDS वह अदृश्य अवसंरचना है जो घोटालों को जीवित रखती है। आप जो भी पैनल रिपोर्ट करते हैं, जो भी पहचान करते हैं, और जो भी डेटासेट साझा करते हैं, वह इस पारिस्थितिकी तंत्र को ध्वस्त करने में मदद करता है। उपकरणों का उपयोग करें। डेटा साझा करें। जो कुछ भी आप पाते हैं, उसकी रिपोर्ट करें।
पारदर्शिता सूचना। PhishDestroy एक गैर-व्यावसायिक, स्वतंत्र परियोजना है। हमारा शोध घोटाले की अवसंरचना और इसे सक्षम करने वाली सेवाओं के प्रति अंतर्निहित पक्षपात को दर्शा सकता है। हम पाठकों को सभी सामग्री का आलोचनात्मक और स्वतंत्र मूल्यांकन करने के लिए प्रोत्साहित करते हैं। हमारा पूरा पारदर्शिता विवरण पढ़ें →
