케이타로 TDS: 1,500개의 패널이 노출되었으나 합법적인 용도는 단 하나도 발견되지 않았다

‘케이타로 TDS’란 무엇인가요?

Keitaro TDS는 다음 업체에서 판매하는 상용 교통 분산 시스템입니다. Apliteni OU, (에 설립된) 회사 에스토니아. 겉으로 보기에는 제휴 마케팅 담당자들을 위한 트래픽 관리 도구로 홍보되고 있습니다. 하지만 실제로는 전 세계 사기 생태계에서 가장 널리 사용되는 클로킹 엔진입니다.

클로킹이란 방문자마다 서로 다른 콘텐츠를 보여주는 기법입니다. 보안 연구원, 광고 심사관 또는 법 집행관이 특정 URL을 방문하면, Keitaro는 이를 식별하여 정상적이고 무해한 페이지를 표시합니다. 반면 실제 피해자가 동일한 URL을 방문하면, 암호화폐 사기 사이트, 피싱 페이지, 악성코드 다운로드 페이지 또는 사기성 전자상거래 사이트로 리디렉션됩니다. 피해자는 정상적인 버전을 절대 볼 수 없으며, 분석가는 사기 내용을 절대 파악할 수 없습니다.

케이타로의 가격대는 월 €40에서 €400, 이를 엔터프라이즈급 사기 방지 인프라로 자리매김하고 있습니다. 이 시스템은 방문자 데이터를 최대 9.75년, 이를 통해 운영자들에게 피해자의 지문, 지리적 데이터, 행동 프로필로 구성된 방대한 데이터 세트를 제공합니다. 이 모든 데이터는 AWS 인프라, 즉 아마존은 자신도 모르게 수천 건의 사기 행위의 백엔드를 호스팅하고 있는 셈이다.

수치: 패널 1,565개, 타당한 패널 0개

PhishDestroy의 조사는 간단한 가설에서 시작되었습니다. ‘Keitaro TDS에 합법적인 용도가 있다면, 우리는 이를 대규모로 찾아낼 수 있어야 한다.’ 우리는 다음을 조사했습니다. 50,000개 이상의 사이트 자동화 도구와 수동 검증을 병행하여, 특히 케이타로 TDS의 흔적을 집중적으로 조사했습니다. 그 결과, 우리가 발견한 사실은 명백했습니다.

1,565개의 활성화된 Keitaro 관리자 패널 발견되었습니다. 우리는 그 하나하나를 모두 분석했습니다. 그 결과: 정당한 배포가 전혀 없음. 합법적인 제휴 마케팅, A/B 테스트 또는 그 밖의 무해한 목적으로 사용된 패널은 단 하나도 없었다. 모든 패널 — 100% — 가 범죄 활동과 연루되어 있었다.

학대 유형별 분석

총 1,565개의 패널은 6가지 주요 사기 유형으로 분류되었습니다. 많은 패널이 여러 유형에 동시에 속해 있었으며, 케이타로의 트래픽 라우팅 기능을 활용해 피해자를 지역, 기기, 또는 시간대에 따라 서로 다른 사기 유형으로 유도했습니다.

형사 사건 의뢰인 명단

Keitaro TDS는 단순한 소규모 사기꾼들만 사용하는 것이 아닙니다. 이는 전 세계에서 가장 위험한 사이버 범죄 조직들이 선호하는 은폐 인프라입니다. 다음은 확인된 고객 목록입니다:

7단계 탐지 방법론

이번 조사 과정에서 PhishDestroy는 Keitaro TDS 배포를 식별하기 위한 7가지 독자적인 방법을 개발했습니다. 각 방법은 Keitaro가 남기는 서로 다른 지문을 대상으로 하며, 이 방법들이 결합되어 포괄적인 탐지 프레임워크를 형성하고 있으며, 현재 오픈소스 도구로 제공되고 있습니다.

1. /click_api/v3 엔드포인트

클릭 이벤트를 처리하기 위한 Keitaro의 핵심 API 엔드포인트입니다. 이 경로는 소프트웨어에 하드코딩되어 있으며 모든 설치 환경에서 존재합니다. 이 엔드포인트를 확인하는 것이 Keitaro 배포 여부를 확인하는 가장 빠른 방법입니다. 이 경로에서 200 또는 302 응답이 반환되면 거의 확실하게 Keitaro가 배포된 것으로 판단할 수 있습니다.

2. _lp / _token / _subid URL 매개변수

Keitaro는 리디렉션 체인 과정에서 URL에 고유한 추적 매개변수를 추가합니다. 이 _lp 이 매개변수는 랜딩 페이지를 식별하며, _token 세션 인증을 수행하며, _subid 서브 제휴사 출처를 추적합니다. 이러한 매개변수는 Keitaro에만 고유하며, 정상적인 트래픽 관리 시스템에서는 거의 나타나지 않습니다.

3. 케이타로 전용 쿠키

케이타로는 방문자 세션을 추적하고 클로킹 상태를 유지하기 위해 고유한 쿠키를 설정합니다. 이 쿠키들은 표준 분석 플랫폼과는 다른 명명 규칙을 따르기 때문에, 브라우저 검사나 자동화된 쿠키 분석을 통해 식별할 수 있습니다.

4. 응답 헤더 패턴

케이타로의 서버 응답에는 특정 캐시 제어 지시문, 사용자 정의 헤더, 표준 웹 서버와는 다른 서버 식별 문자열 등 독특한 HTTP 헤더 패턴이 포함되어 있습니다. 이러한 헤더는 운영자가 설정을 사용자 정의하려고 시도하더라도 그대로 유지됩니다.

5. 자바스크립트 리디렉션 체인

케이타로는 사기 페이지와 정상 페이지 중 어느 것을 표시할지 결정하기 전에 방문자의 지문을 평가하기 위해 다단계 자바스크립트 리디렉션을 구현합니다. 이러한 리디렉션 체인은 특정 변수 이름, 타이밍 순서, 평가 논리 등 예측 가능한 패턴을 따르며, 정적 및 동적 자바스크립트 분석을 통해 탐지될 수 있습니다.

6. 도메인 패턴 분석

Keitaro 운영자들은 대개 예측 가능한 명명 규칙과 등록 패턴에 따라 도메인을 등록하는 경향이 있습니다. 대량 도메인 분석 결과, WHOIS 정보, 등록일, 네임서버 설정 및 호스팅 제공업체가 유사한 도메인 클러스터가 발견되었으며, 이 모든 요소는 조직적으로 이루어진 Keitaro 배포를 시사합니다.

7. 관리자 패널 지문 인식

Keitaro 관리자 패널은 알려진 경로를 통해 접근할 수 있으며, 고유한 HTML 구조, CSS 클래스 이름 및 자바스크립트 파일을 반환합니다. 운영자가 기본 로그인 URL을 변경하더라도, 패널의 프론트엔드 프레임워크는 경로 열거 및 콘텐츠 지문 분석을 통해 탐지될 수 있는 식별 가능한 흔적을 남깁니다.

글로벌 인프라 지도

1,565개의 케이타로 패널은 저렴한 VPS 제공업체와 악용 신고 대응 속도가 느린 관할 구역을 선호하는 글로벌 호스팅 인프라에 분산되어 있습니다. 패널이 위치한 곳은 다음과 같습니다:

오픈소스 도구 출시

이번 조사와 함께 PhishDestroy는 완전한 오픈소스 탐지 툴킷을 공개합니다. 모든 도구는 무료로 제공되며, API 키가 필요 없고, 즉시 배포할 수 있습니다. 1,565개의 패널로 구성된 전체 데이터셋이 포함되어 있습니다.