NameSilo

Основные выводы

• 5 666 подтвержденных фишинговых доменов у одного регистратора, у которого общее количество регистраций составляет 5,25 миллиона. Хотя абсолютный показатель фишинга у NameSilo (около 0,07 %) ниже, чем у NiceNIC, концентрация фишинговых доменов в рамках определённых групп регистрантов свидетельствует о другом: на долю 1 344 учетных записей серийных регистрантов приходится подавляющее большинство выявленной фишинговой инфраструктуры.
• Основная проблема заключается в скоплениях лиц, неоднократно регистрирующихся в системе. В ходе нашего анализа было выявлено 1 344 уникальных профиля регистрантов, каждый из которых зарегистрировал несколько подтвержденных фишинговых доменов. Эти учетные записи демонстрируют характерные закономерности: схожие контактные данные, общие способы оплаты, о которых можно судить по времени регистрации, а также скоординированные циклы истечения срока действия доменов, позволяющие максимально увеличить период эксплуатации и одновременно минимизировать затраты, связанные с раскрытием информации. Меры контроля проверки учетных записей, применяемые NameSilo, недостаточны для выявления или предотвращения подобных действий.
• 32,2 % просканированных доменов недействительны. Доля неактивных доменов, превышающая 30 %, свидетельствует о стратегии «быстрой регистрации и сброса», которая прочно укоренилась среди клиентов NameSilo. Регистранты развертывают фишинговую инфраструктуру, извлекают из неё всю выгоду в течение нескольких дней или недель, а затем бросают её. Высокий показатель неактивных доменов не случаен — это признак злоупотребительной бизнес-модели, которую ценовая политика NameSilo делает экономически выгодной.
• Сообщения о нарушениях поданы, но удаление контента не произведено. PhishDestroy и партнерские организации направили подтвержденные документально заявления о злоупотреблениях в отношении сотен фишинговых доменов, зарегистрированных в NameSilo. Время реагирования варьируется, и значительная часть доменов, по которым поступили заявления, остается активной в течение нескольких дней после подтверждения заявлений. В отношении рецидивистов-регистрантов не было принято никаких видимых мер на уровне учетных записей.
• Расследование вызвало ответную жалобу в Twitter. После публикации первоначального отчета NameSilo и его широкого обсуждения в X компания NameSilo подала жалобу в Twitter, заявив, что аккаунт PhishDestroy нарушил правила платформы. Команда X по вопросам доверия и безопасности рассмотрела жалобу и восстановила аккаунт, не обнаружив никаких нарушений. Эта цепочка событий — когда регистратор обращается с жалобой в социальную сеть с целью подавления публикации исследователя в области безопасности — задокументирована и заархивирована.
• Статус публичной компании не означает подотчетности. Листинг компании NameSilo на бирже NASDAQ (тикер: URL) обязывает её соблюдать требования SEC по раскрытию информации и подвергает её внимательному контролю со стороны публичных акционеров. Несмотря на это, злоупотребление фишинговыми доменами на платформе продолжалось с прежней интенсивностью на протяжении всего периода расследования. Хранилище доказательств организовано таким образом, чтобы обеспечить взаимодействие с инвесторами и предоставление информации регулирующим органам в случае, если потребуется принятие дальнейших мер.

Поток данных о обнаруженных угрозах в режиме реального времени

Самые последние фишинговые домены NameSilo, обнаруженные сервисом PhishDestroy. Список постоянно обновляется.

Доказательства и связанное с ними расследование