Keitaro TDS: 1.500 Panel Açığa Çıktı ve Hiçbir Meşru Kullanım Tespit Edilmedi

Keitaro TDS Nedir?

Keitaro TDS, şu şirket tarafından satılan ticari bir Trafik Dağıtım Sistemidir: Apliteni OU, şu ülkede kurulmuş bir şirket: Estonya. Görünüşte, bu platform kendini bağlı pazarlamacılar için bir trafik yönetimi aracı olarak tanıtmaktadır. Oysa gerçekte, küresel dolandırıcılık ekosisteminde en yaygın şekilde kullanılan tek gizleme motorudur.

Gizleme, farklı ziyaretçilere farklı içerik gösterme sanatıdır. Bir güvenlik araştırmacısı, reklam denetçisi veya kolluk görevlisi bir URL’yi ziyaret ettiğinde, Keitaro bu kişileri tespit eder ve onlara temiz, zararsız bir sayfa sunar. Gerçek bir kurban aynı URL'yi ziyaret ettiğinde ise kripto dolandırıcılığına, kimlik avı sayfalarına, kötü amaçlı yazılım indirme sayfalarına veya sahte e-ticaret sitelerine yönlendirilir. Kurban, temiz sürümü asla görmez. Analist ise dolandırıcılığı asla görmez.

Keitaro'nun fiyatları şu aralıkta değişmektedir: Ayda 40 € ile 400 € arası, onu kurumsal düzeyde bir dolandırıcılık önleme altyapısı olarak konumlandırıyor. Ziyaretçi verilerini en fazla 9,75 yıl, operatörlere mağdurların parmak izleri, coğrafi veriler ve davranış profillerinden oluşan devasa bir veri seti sunuyor. Tüm bu veriler AWS altyapısı, yani Amazon, farkında olmadan binlerce dolandırıcılık operasyonunun arka planını barındırıyor.

Rakamlar: 1.565 panel, sıfır geçerli

PhishDestroy’un araştırması basit bir hipotezle başladı: Keitaro TDS’nin meşru kullanım alanları varsa, bunları geniş ölçekte tespit etmemiz gerekir. Tarama yaptık 50.000'den fazla site otomatik araçlar ile manuel doğrulamayı bir arada kullanarak, özellikle Keitaro TDS’ye ait izleri araştırdık. Elde ettiğimiz sonuçlar son derece netti.

1.565 aktif Keitaro yönetici paneli keşfedildi. Her birini tek tek inceledik. Sonuç: hiçbir meşru dağıtım yok. Hiçbir panel, yasal ortaklık pazarlaması, A/B testi ya da başka herhangi bir zararsız amaç için kullanılmıyordu. Her panel — %100 — suç faaliyetleriyle bağlantılıydı.

İstismar Kategorilerinin Dağılımı

1.565 panel, altı ana suistimal kategorisine dağıtıldı. Birçok panel, Keitaro’nun trafik yönlendirme sistemini kullanarak kurbanları coğrafi konuma, cihaza veya günün saatine göre farklı dolandırıcılık türlerine yönlendirerek aynı anda birden fazla kategoriye hizmet verdi.

Ceza Davası Müvekkillerinin Adlarının Okunması

Keitaro TDS sadece küçük çaplı dolandırıcılar tarafından kullanılmıyor. Bu sistem, dünyadaki en tehlikeli siber suç örgütlerinden bazılarının tercih ettiği gizleme altyapısıdır. İşte belgelenmiş müşterileri:

7 Maddelik Tespit Metodolojisi

Bu araştırma süresince PhishDestroy, Keitaro TDS kurulumlarını tespit etmek için yedi farklı yöntem geliştirdi. Her yöntem, Keitaro’nun geride bıraktığı farklı bir izi hedef almaktadır ve bu yöntemler bir araya gelerek, artık açık kaynaklı araçlar olarak kullanıma sunulan kapsamlı bir tespit çerçevesi oluşturmaktadır.

1. /click_api/v3 Uç nokta

Keitaro'nun tıklama olaylarını işlemek için kullandığı temel API uç noktası. Bu yol, yazılıma sabit olarak kodlanmıştır ve her kurulumda mevcuttur. Bu uç noktasını kontrol etmek, bir Keitaro kurulumunu doğrulamanın en hızlı yoludur. Bu yolda alınan 200 veya 302 yanıtı, neredeyse kesin bir şekilde olumlu bir tanımlama anlamına gelir.

2. _lp / _token / _subid URL Parametreleri

Keitaro, yönlendirme zincirleri sırasında URL’lere kendine özgü izleme parametreleri ekler. Bu _lp Bu parametre açılış sayfasını tanımlar, _token oturum kimlik doğrulamasını sağlar ve _subid alt iş ortağı kaynaklarını izler. Bu parametreler Keitaro’ya özgüdür ve meşru trafik yönetim sistemlerinde nadiren görülür.

3. Keitaro’ya Özgü Çerezler

Keitaro, ziyaretçi oturumlarını izlemek ve gizleme durumunu korumak için kendine özgü çerezler yerleştirir. Bu çerezler, standart analiz platformlarından farklı adlandırma kurallarına uyar; bu sayede tarayıcı incelemesi veya otomatik çerez analizi yoluyla tespit edilebilirler.

4. Yanıt Başlık Kalıpları

Keitaro sunucusunun yanıtları, belirli cache-control yönergeleri, özel başlıklar ve standart web sunucularından farklı olan sunucu tanımlama dizeleri dahil olmak üzere kendine özgü HTTP başlık kalıpları içerir. Bu başlıklar, operatörler kurulumlarını özelleştirmeye çalıştıklarında bile devam eder.

5. JavaScript Yönlendirme Zincirleri

Keitaro, dolandırıcılık sayfasını mı yoksa güvenli sayfayı mı göstereceğine karar vermeden önce ziyaretçilerin parmak izlerini değerlendirmek üzere çok aşamalı JavaScript yönlendirmeleri kullanır. Bu yönlendirme zincirleri, statik ve dinamik JavaScript analizi yoluyla tespit edilebilen öngörülebilir kalıplar — belirli değişken adları, zamanlama dizileri ve değerlendirme mantığı — izler.

6. Etki Alanı Desen Analizi

Keitaro operatörleri, genellikle öngörülebilir adlandırma kuralları ve kayıt kalıpları doğrultusunda alan adlarını kaydettirme eğilimindedir. Toplu alan adı analizi, benzer WHOIS verilerine, kayıt tarihlerine, ad sunucusu yapılandırmalarına ve barındırma sağlayıcılarına sahip alan adı kümelerini ortaya çıkarmaktadır; bunların tümü, koordineli Keitaro dağıtımlarına işaret etmektedir.

7. Yönetici Paneli Parmak İzi Tanımlama

Keitaro yönetim panellerine bilinen yollardan erişilebilir ve bu paneller kendine özgü HTML yapıları, CSS sınıf adları ve JavaScript dosyaları döndürür. Operatörler varsayılan oturum açma URL’sini değiştirse bile, panelin ön uç çerçevesi, yol sayımı ve içerik parmak izi analizi yoluyla tespit edilebilen tanımlanabilir izler bırakır.

Küresel Altyapı Haritası

1.565 adet Keitaro paneli, ucuz VPS sağlayıcılarını ve kötüye kullanım bildirimlerine yanıt sürelerinin uzun olduğu yargı bölgelerini tercih eden küresel bir barındırma altyapısı üzerinde dağıtılmıştır. Panellerin bulunduğu yerler şunlardır:

Açık Kaynaklı Araçlar Yayınlandı

Bu araştırmanın yanı sıra, PhishDestroy eksiksiz bir açık kaynaklı tespit araç seti yayınlıyor. Her araç ücretsizdir, API anahtarı gerektirmez ve hemen kullanıma alınabilir. 1.565 panelden oluşan tam veri kümesi de dahil edilmiştir.