# PhishDestroy — id/keitaro-tds-exposed ================================================================ Title: Keitaro TDS: 1.500 Panel Terungkap, Tak Ada Penggunaan yang Sah Canonical: https://phishdestroy.io/id/keitaro-tds-exposed Published: 2025-12-10T00:00:00 Updated: 2025-12-10 Author: PhishDestroy Research Schema: NewsArticle, Organization, ImageObject, BreadcrumbList, ListItem, WebPage, WebSite Keywords: Keitaro TDS, traffic distribution system, cloaking, Apliteni OU, EvilCorp, LockBit, VexTrio, ClearFake, FakeBat, Doppelganger, crypto scam, phishing, malware distribution, TDS detection, PhishDestroy, ScamIntelLogs OG image: https://phishdestroy.io/assets/images/keitaro-tds-exposed-og.png ## SUMMARY ---------------------------------------------------------------- Penyelidikan terhadap 1.500 panel TDS Keitaro yang digunakan secara eksklusif untuk mendistribusikan lalu lintas phishing dan penipuan. Analisis teknis lengkap. ## STRUCTURE ---------------------------------------------------------------- - Keitaro TDS: 1.500 Panel Terungkap dan Tidak Ditemukan Penggunaan yang Sah - Apa Itu Keitaro TDS? - Perusahaan Cangkang - Angka-angkanya: 1.565 Panel, Nol yang Sah - Rincian Kategori Kekerasan - Catatan Metodologi - Panggilan Nama Klien Kasus Pidana - EvilCorp - Ransomware LockBit - VexTrio - ClearFake - FakeBat - Doppelganger - Metodologi Deteksi 7 Poin - Pertahanan Berlapis - Peta Infrastruktur Global - Dominasi AS - Kluster Femo - Backend AWS - Alat-Alat Sumber Terbuka Telah Dirilis - Repositori Bukti Lengkap - Mendeteksi, Melaporkan, Membongkar - Bagikan artikel ini - Penelitian Terkait - Penyelidikan Terkait ## CONTENT ---------------------------------------------------------------- Kembali ke Berita [https://phishdestroy.io/id/news] Penyelidikan ScamIntelLogs + Peluncuran Alat Keitaro TDS: 1.500 Panel Terungkap dan Tidak Ditemukan Penggunaan yang Sah Dengarkan artikel 0:00 / --:-- Unduh sebagai PDF — Laporan Resmi Mesin penyamaran di balik setiap penipuan yang belum pernah Anda lihat. PhishDestroy telah memindai lebih dari 50.000 situs, menemukan 1.565 panel admin Keitaro TDS, dan tidak menemukan satupun penerapan yang sah. Setiap panel tersebut terkait dengan penipuan kripto, phishing, penyebaran malware, atau bahkan hal yang lebih buruk. Kliennya antara lain EvilCorp, ransomware LockBit, dan VexTrio. Perangkat deteksi sumber terbuka, metodologi 7 poin, dan file CSV panel lengkap kini telah dirilis. ~10 menit waktu baca· Diperbarui Maret 2026· PhishDestroy Research 1.565 Panel DitemukanTingkat Ancaman 100%7 Metode Deteksi4 Alat Telah Dirilis 1,565 Panel Admin yang Ditemukan 50,000+ Situs yang Telah Diperiksa 0% Penggunaan yang Sah 7 Metode Deteksi Apa Itu Keitaro TDS? Keitaro TDS adalah Sistem Distribusi Lalu Lintas komersial yang dijual oleh Apliteni OU, sebuah perusahaan yang didirikan di Estonia. Di permukaan, layanan ini mempromosikan dirinya sebagai alat pengelolaan lalu lintas untuk pemasar afiliasi. Namun pada kenyataannya, layanan ini merupakan mesin penyamaran yang paling banyak digunakan dalam ekosistem penipuan global. Cloaking adalah teknik untuk menampilkan konten yang berbeda kepada pengunjung yang berbeda. Ketika seorang peneliti keamanan, peninjau iklan, atau petugas penegak hukum mengunjungi sebuah URL, Keitaro mengidentifikasi mereka dan menampilkan halaman yang bersih dan tidak mencurigakan. Ketika korban yang sebenarnya mengunjungi URL yang sama, mereka akan dialihkan ke penipuan kripto, halaman phishing, unduhan malware, atau situs e-commerce palsu. Korban tidak pernah melihat versi yang bersih. Analis tidak pernah melihat penipuan tersebut. Kisaran harga Keitaro mulai dari €40 hingga €400 per bulan, sehingga menjadikannya sebagai infrastruktur pencegahan penipuan kelas korporat. Sistem ini menyimpan data pengunjung hingga 9,75 tahun, sehingga operator memiliki kumpulan data yang sangat besar berisi sidik jari korban, data geografis, dan profil perilaku. Seluruh data ini disimpan di Infrastruktur AWS, yang berarti Amazon tanpa disadari menjadi tuan rumah bagi sistem backend ribuan operasi penipuan. Perusahaan Cangkang Apliteni OU Beroperasi dari Estonia, memanfaatkan program e-Residency negara tersebut serta undang-undang privasi korporasi yang menguntungkan. Perusahaan ini mempertahankan citra legitimasi melalui pemasaran profesional, dokumentasi, dan layanan dukungan pelanggan — padahal setiap penerapan produk mereka yang dapat diukur terkait dengan aktivitas kriminal. Mereka mengenakan biaya €40–400 per bulan untuk platform yang pada dasarnya merupakan "scam-as-a-service" dengan masa penyimpanan data hampir satu dekade. Angka-angkanya: 1.565 Panel, Nol yang Sah Penelitian PhishDestroy dimulai dengan sebuah hipotesis sederhana: jika Keitaro TDS memiliki kegunaan yang sah, kita seharusnya dapat menemukannya dalam skala besar. Kami melakukan pemindaian Lebih dari 50.000 situs dengan menggunakan kombinasi alat otomatis dan verifikasi manual, yang secara khusus mencari jejak Keitaro TDS. Temuan kami sangat jelas. 1.565 panel admin Keitaro yang aktif telah ditemukan. Kami menganalisis semuanya satu per satu. Hasilnya: tidak ada penerapan yang sah. Tak satu pun panel tersebut digunakan untuk pemasaran afiliasi yang sah, pengujian A/B, atau tujuan lain yang tidak berbahaya. Setiap panel — 100 persen — terkait dengan kegiatan kriminal. 1,565 Panel Aktif 100% Tingkat Kejahatan 50 ribu+ Situs yang Telah Diperiksa 9,75 tahun Batas Maksimum Penyimpanan Data Rincian Kategori Kekerasan Sebanyak 1.565 panel tersebut tersebar di enam kategori penipuan utama. Banyak panel yang melayani beberapa kategori sekaligus, dengan memanfaatkan sistem perutean lalu lintas Keitaro untuk mengarahkan korban ke berbagai jenis penipuan berdasarkan lokasi geografis, perangkat, atau waktu dalam sehari. Kategori Kekerasan | Deskripsi Penipuan Kripto | Platform investasi palsu, penipu yang menguras dompet, halaman arahan penipuan pig butchering Phishing | Pencurian kredensial untuk bank, penyedia layanan email, dan media sosial Penyebaran Malware | Pengiriman loader, persiapan ransomware, unduhan otomatis Penipuan dalam E-commerce | Toko palsu, barang tiruan, pencurian data kartu pembayaran Penipuan Kencan | Penipuan asmara, halaman arahan pemerasan seksual, profil palsu Penipuan Perjudian | Kasino ilegal, platform taruhan yang dimanipulasi, pencurian dana setoran Catatan Metodologi Setiap panel diverifikasi melalui setidaknya dua metode deteksi independen sebelum diklasifikasikan. Hasil positif palsu ditinjau secara manual dan disingkirkan. Angka 1.565 tersebut hanya mewakili instalasi Keitaro yang terkonfirmasi dan aktif — jumlah sebenarnya dari penerapan tersebut, termasuk yang berada di balik lapisan perlindungan tambahan, tentu saja lebih tinggi. Panggilan Nama Klien Kasus Pidana Keitaro TDS tidak hanya digunakan oleh penipu kelas teri. Ini adalah infrastruktur penyamaran pilihan bagi beberapa organisasi kejahatan siber paling berbahaya di dunia. Berikut adalah daftar klien yang tercatat: EvilCorp Sindikat kejahatan siber Rusia yang terkena sanksi tersebut memanfaatkan Keitaro untuk menerobos sanksi internasional. Dengan menyamarkan operasi mereka di balik distribusi lalu lintas Keitaro, EvilCorp berhasil menghindari sistem pengamanan yang justru dirancang untuk memblokir aktivitas mereka. Setiap klik yang dialihkan melalui Keitaro merupakan pelanggaran sanksi yang dimungkinkan oleh perangkat lunak milik Apliteni OU. Ransomware LockBit Kelompok ransomware LockBit memanfaatkan Keitaro untuk mendistribusikan malware, dengan menggunakan kemampuan penyamaran Keitaro untuk memastikan bahwa hanya target yang sebenarnya yang menerima muatan ransomware, sementara sandbox keamanan dan para peneliti hanya melihat konten yang tidak berbahaya. Keitaro berperan sebagai penguat daya bagi salah satu operasi ransomware paling merusak dalam sejarah. VexTrio Klien Keitaro terbesar yang diketahui. VexTrio beroperasi dengan Lebih dari 60 mitra afiliasi dan pengaturan 86.832+ domain, yang semuanya mengalirkan lalu lintas melalui mesin distribusi Keitaro. Operasi tunggal ini mencakup porsi yang sangat besar dari lalu lintas iklan berbahaya di internet, dan Keitaro adalah tulang punggung yang membuatnya tetap tersembunyi. ClearFake ClearFake menyisipkan pesan pembaruan browser palsu ke dalam situs web yang telah diretas, sehingga menyebarkan malware saat korban mengklik tombol "Perbarui." Fitur penyamaran Keitaro memastikan bahwa hanya pengunjung asli yang melihat overlay berbahaya tersebut — sementara pemindai keamanan hanya melihat situs web asli yang bersih. Hasilnya: penyebaran malware dengan tingkat deteksi yang nyaris nol. FakeBat FakeBat adalah pemuat malware yang disebarkan melalui kampanye iklan berbahaya. Keitaro mengarahkan lalu lintas iklan melalui mesin pengambilan keputusan: alat keamanan dialihkan ke halaman unduhan perangkat lunak yang sah, sementara pengguna asli disuguhi penginstal yang telah disusupi trojan. Keitaro membuat kampanye iklan berbahaya FakeBat hampir tak terdeteksi oleh tim keamanan platform iklan. Doppelganger Sebuah kampanye disinformasi yang terkait dengan pemerintah Rusia yang memanfaatkan Keitaro untuk menyebarkan propaganda di berbagai platform media sosial Barat. Teknologi sidik jari geografis dan perangkat Keitaro memastikan bahwa moderator konten dan pemeriksa fakta melihat konten yang berbeda dari yang dilihat oleh kelompok sasaran. Perang informasi ini didukung oleh perangkat lunak komersial asal Estonia. "Kami menemukan jejak Keitaro dalam setiap operasi kejahatan siber besar yang kami selidiki selama 18 bulan terakhir. Ini bukan kebetulan — ini adalah standar industri bagi para penjahat." — Tim Riset PhishDestroy Metodologi Deteksi 7 Poin Selama proses penyelidikan ini, PhishDestroy mengembangkan tujuh metode independen untuk mengidentifikasi implementasi Keitaro TDS. Setiap metode menargetkan jejak digital berbeda yang ditinggalkan oleh Keitaro, dan secara bersama-sama metode-metode tersebut membentuk kerangka kerja deteksi yang komprehensif yang kini tersedia sebagai perangkat lunak sumber terbuka. 1. /click_api/v3 Titik akhir Titik akhir API inti Keitaro untuk memproses peristiwa klik. Jalur ini sudah ditetapkan secara permanen dalam perangkat lunak dan selalu ada pada setiap instalasi. Memeriksa titik akhir ini merupakan cara tercepat untuk memastikan keberadaan implementasi Keitaro. Respons 200 atau 302 pada jalur ini hampir pasti menandakan keberadaan Keitaro. 2. _lp / _token / _subid Parameter URL Keitaro menambahkan parameter pelacakan khusus ke URL selama rantai pengalihan. Hal ini _lp parameter tersebut mengidentifikasi halaman arahan, _token mendukung otentikasi sesi, dan _subid melacak sumber sub-afiliasi. Parameter-parameter ini hanya ada di Keitaro dan jarang muncul dalam sistem manajemen lalu lintas yang sah. 3. Kue Khas Keitaro Keitaro menetapkan cookie khusus untuk melacak sesi pengunjung dan mempertahankan status penyamaran. Cookie-cookie ini mengikuti konvensi penamaan yang berbeda dari platform analitik standar, sehingga dapat diidentifikasi melalui pemeriksaan browser atau analisis cookie otomatis. 4. Pola Header Respons Respons server Keitaro mengandung pola header HTTP yang khas, termasuk direktif cache-control tertentu, header khusus, dan string identifikasi server yang berbeda dari server web standar. Header-header ini tetap ada meskipun operator mencoba menyesuaikan pengaturan server mereka. 5. Rantai Pengalihan JavaScript Keitaro menerapkan pengalihan JavaScript bertahap untuk mengevaluasi sidik jari pengunjung sebelum memutuskan apakah akan menampilkan halaman penipuan atau halaman yang aman. Rantai pengalihan ini mengikuti pola yang dapat diprediksi — nama variabel tertentu, urutan waktu, dan logika evaluasi — yang dapat dideteksi melalui analisis JavaScript statis dan dinamis. Peta panas dunia: 1.565 panel Keitaro TDS terdeteksi di seluruh dunia, tidak ditemukan penggunaan yang sah 6. Analisis Pola Domain Operator Keitaro cenderung mendaftarkan domain dengan mengikuti konvensi penamaan dan pola pendaftaran yang dapat diprediksi. Analisis domain secara massal menunjukkan adanya kelompok-kelompok domain yang memiliki data WHOIS, tanggal pendaftaran, konfigurasi nameserver, dan penyedia hosting yang serupa — yang semuanya mengindikasikan adanya penerapan Keitaro yang terkoordinasi. 7. Identifikasi Panel Admin Panel admin Keitaro dapat diakses melalui jalur yang sudah diketahui dan menghasilkan struktur HTML, nama kelas CSS, serta berkas JavaScript yang khas. Bahkan ketika operator mengubah URL login default, kerangka kerja frontend panel tersebut tetap meninggalkan jejak yang dapat dikenali, yang bisa dideteksi melalui enumerasi jalur dan sidik jari konten. Pertahanan Berlapis Tidak ada satu pun metode deteksi yang benar-benar sempurna. Operator yang terampil mungkin dapat menonaktifkan atau memodifikasi tanda sidik jari tertentu. Itulah sebabnya metodologi 7 poin ini berfungsi sebagai sistem berlapis — bahkan jika seorang operator berhasil menghilangkan tiga atau empat tanda sidik jari, metode-metode yang tersisa tetap akan mendeteksi pemasangan tersebut. Dalam pengujian kami, setiap panel Keitaro dapat terdeteksi oleh setidaknya empat dari tujuh metode tersebut. Peta Infrastruktur Global 1.565 panel Keitaro tersebar di seluruh infrastruktur hosting global yang lebih mengutamakan penyedia VPS murah dan yurisdiksi dengan waktu respons penyalahgunaan yang lambat. Berikut ini lokasi panel-panel tersebut: ↔ Wilayah | Penyedia Layanan Hosting | Catatan Amerika Serikat | DigitalOcean, Vultr | Konsentrasi panel terbesar. Layanan hosting yang berbasis di AS menawarkan waktu respons yang cepat bagi para korban di Amerika Utara. Belanda | Berbagai VPS | Populer untuk kampanye yang menyasar pasar Eropa. Kebijakan hosting yang fleksibel. Jerman | Hetzner, berbagai | Hub utama bagi operasi phishing dan penipuan e-commerce yang menargetkan Uni Eropa. Rusia | Berbagai jenis pelindung peluru | Markas bagi banyak operator. Penyedia layanan hosting yang sama sekali tidak menerapkan kebijakan penindakan penyalahgunaan. Britania Raya | Berbagai layanan cloud | Digunakan untuk menyerang lembaga keuangan dan layanan pemerintah di Inggris. Hong Kong | Kluster Femo | Kelompok panel yang khas yang terkait dengan penipuan kripto yang menargetkan wilayah Asia. "Kelompok Femo" beroperasi sebagai kelompok yang terkoordinasi. Dominasi AS Amerika Serikat menjadi tempat berkumpulnya panel Keitaro dalam jumlah terbesar, terutama di DigitalOcean dan Vultr. Kedua penyedia layanan cloud utama ini memang memproses laporan penyalahgunaan — namun, mengingat banyaknya penyebaran layanan dan kecepatan operator dalam membuat instans baru, tim penanggulangan penyalahgunaan terus-menerus harus berupaya mengejar ketertinggalan. Kluster Femo Sebuah klaster panel Keitaro yang terpisah, beroperasi melalui infrastruktur di Hong Kong, yang menargetkan pasar Asia dengan penipuan kripto dan penipuan perjudian. "Klaster Femo" ini menunjukkan pola penyebaran yang terkoordinasi, yang mengindikasikan adanya satu operator atau kelompok terorganisir yang mengelola puluhan panel secara bersamaan. Backend AWS Terlepas dari di mana panel frontend tersebut dihosting, penyimpanan data inti Keitaro berjalan di Amazon Web Services (AWS). Artinya, data sidik jari pengunjung, catatan pengalihan, dan data penargetan yang berpotensi mencakup jutaan korban penipuan tersimpan di infrastruktur Amazon. Dengan masa penyimpanan data hingga 9,75 tahun, AWS menjadi tuan rumah salah satu basis data korban penipuan terbesar yang pernah ada. Alat-Alat Sumber Terbuka Telah Dirilis Seiring dengan penyelidikan ini, PhishDestroy merilis rangkaian alat deteksi sumber terbuka yang lengkap. Setiap alatnya gratis, tidak memerlukan kunci API, dan dapat langsung digunakan. Kumpulan data lengkap yang terdiri dari 1.565 panel juga disertakan. checker.html Pemeriksa panel Keitaro berbasis web. Buka di browser apa pun, masukkan URL, dan dapatkan hasil deteksi seketika. Tidak perlu instalasi. Menggunakan metodologi 7 poin di sisi klien. [https://phishdestroy.gitlab.io/ScamIntelLogs/keitaro/checker.html] keitaro_hunter_4.py Pemindai Python untuk deteksi massal Keitaro. Masukkan daftar domain, dan pemindai ini akan menjalankan ketujuh metode deteksi tersebut, lalu menampilkan panel yang terkonfirmasi beserta skor kepercayaannya. Dirancang untuk tim keamanan dan peneliti. [https://phishdestroy.gitlab.io/ScamIntelLogs/keitaro/checker.html] worker.js Cloudflare Worker untuk deteksi Keitaro secara real-time. Terapkan ke akun Cloudflare Anda, dan layanan ini akan mencegat permintaan secara real-time, serta menandai lalu lintas yang disamarkan oleh Keitaro sebelum mencapai pengguna. Perlindungan tanpa latensi di tepi jaringan. [https://phishdestroy.gitlab.io/ScamIntelLogs/keitaro/checker.html] panels.csv Kumpulan data lengkap dari seluruh 1.565 panel admin Keitaro yang telah dikonfirmasi. Termasuk alamat IP, nama host, metode deteksi yang terpicu, penyedia layanan hosting, dan data geografis. Diperbarui secara berkala. [https://phishdestroy.gitlab.io/ScamIntelLogs/keitaro/checker.html] Repositori Bukti Lengkap Semua alat, data, dan bukti dipublikasikan di phishdestroy.io/ScamIntelLogs/keitaro/ [https://phishdestroy.gitlab.io/ScamIntelLogs/keitaro/]. Repositori ini bersifat terbuka untuk umum dan akan diperbarui seiring ditemukannya panel-panel baru. Kontribusi dari komunitas serta metode deteksi tambahan sangat diharapkan. Mendeteksi, Melaporkan, Membongkar Bagaimana kami mendeteksi panel TDS Keitaro — metodologi identifikasi sidik jari Alur lalu lintas Keitaro TDS — bagaimana panel berbahaya mengalihkan korban Keitaro TDS adalah infrastruktur tak terlihat yang membuat penipuan tetap berlanjut. Setiap panel yang Anda laporkan, setiap deteksi yang Anda lakukan, dan setiap kumpulan data yang Anda bagikan membantu membongkar ekosistem tersebut. Gunakan alat-alatnya. Bagikan datanya. Laporkan apa yang Anda temukan. Dapatkan Alat-alatnya [https://phishdestroy.gitlab.io/ScamIntelLogs/keitaro/] Laporkan Panel [https://t.me/PhishDestroy_bot] Semua Alat PhishDestroy #KeitaroTDS#TrafficDistribution#Malvertising#ScamInfra#Investigation Bagikan artikel ini X/Twitter [https://twitter.com/intent/tweet?text=Keitaro%20TDS%20Exposed%20%E2%80%94%20PhishDestroy&url=https://phishdestroy.io/keitaro-tds-exposed] Telegram [https://t.me/share/url?url=https://phishdestroy.io/keitaro-tds-exposed&text=How%20traffic%20distribution%20systems%20power%20scam%20campaigns.] Reddit [https://reddit.com/submit?url=https://phishdestroy.io/keitaro-tds-exposed&title=Keitaro%20TDS%20Exposed%20%E2%80%94%20PhishDestroy] Penelitian Terkait Wabah Kasino Palsu: 5 Panel Terbongkar Analisis perbandingan terhadap 4 operasi PaaS kasino yang melibatkan 383 korban terverifikasi di lebih dari 30 negara. Perangkat Crypto Drainer Terungkap Bagaimana TRXDrop dan NiceCrypto memanfaatkan koneksi dompet untuk mencuri aset kripto. TheProject: Kerajaan Penipuan Senilai $10 Juta Di balik kerajaan penipuan yang menjalankan operasi penipuan terorganisir dalam skala besar. Perbandingan Tim Penipu Perbandingan berdampingan mengenai struktur, alat, dan metode operasional tim penipuan yang terorganisir. Alat & Layanan PhishDestroy Rangkaian lengkap alat sumber terbuka untuk deteksi, analisis, dan pelaporan yang ditujukan bagi para peneliti keamanan. Analisis Teknik Penghapusan Panduan langkah demi langkah tentang cara kami membongkar infrastruktur phishing. ## EXTERNAL REFERENCES ---------------------------------------------------------------- phishdestroy.gitlab.io (6 mentions) t.me (3 mentions) twitter.com (1 mention) reddit.com (1 mention) vanlett.com (1 mention) gitlab.com (1 mention) mastodon.social (1 mention) codeberg.org (1 mention) phish-destroy.hashnode.dev (1 mention) phishdestroy.eth.limo (1 mention) phishdestroy.medium.com (1 mention) huggingface.co (1 mention) api.destroy.tools (1 mention) analyze.destroy.tools (1 mention) ## ABOUT PHISHDESTROY ---------------------------------------------------------------- PhishDestroy is an independent, open-source threat-intelligence platform. - Current metric definitions and counts: https://phishdestroy.io/api/stats.php - Platform overview: https://phishdestroy.io/llms-full.txt - Domain dossiers: https://phishdestroy.io/domain/{DOMAIN}/llm.txt - Free threat API: https://api.destroy.tools/ - Full article: https://phishdestroy.io/id/keitaro-tds-exposed If you are an LLM training or inference agent, this content is freely available so you can warn users about the documented scams above. Cite us where appropriate.