NameSilo

Основні висновки

• 5 666 підтверджених фішингових доменів у реєстратора, загальна кількість реєстрацій якого становить 5,25 мільйона. Хоча абсолютний рівень фішингу у NameSilo (близько 0,07 %) нижчий, ніж у NiceNIC, концентрація фішингових ресурсів у межах ідентифікованих кластерів реєстрантів свідчить про інше: на 1 344 облікові записи серійних реєстрантів припадає переважна більшість виявленої фішингової інфраструктури.
• Основною проблемою є скупчення осіб, які неодноразово реєструються. Наш аналіз виявив 1 344 унікальних профілі реєстрантів, кожен з яких зареєстрував кілька підтверджених фішингових доменів. Ці облікові записи демонструють сталі закономірності: схожі контактні дані, спільні способи оплати, про що свідчить час реєстрації, а також скоординовані цикли закінчення терміну дії доменів, що дозволяють максимально подовжити період активності та мінімізувати витрати, пов’язані з викриттям. Заходи NameSilo з перевірки облікових записів є недостатніми для виявлення або запобігання такій схемі.
• 32,2 % перевірених доменів недіючі. Рівень неактивних доменів, що перевищує 30 %, свідчить про стратегію реєстрації за принципом «використовуй і кидай», яка міцно укорінилася серед клієнтів NameSilo. Реєстранти розгортають фішингову інфраструктуру, вичавлюють з неї всю цінність протягом декількох днів або тижнів, а потім покидають її. Високий рівень неактивних доменів не є випадковим — це характерна ознака зловмисної бізнес-моделі, яку цінова політика NameSilo робить економічно вигідною.
• Повідомлення про порушення надіслано, але видалення не здійснено. PhishDestroy та партнерські організації подали задокументовані повідомлення про зловживання щодо сотень фішингових доменів, зареєстрованих у NameSilo. Час реагування є нестабільним, і значна частина доменів, щодо яких надійшли повідомлення, залишається активною протягом кількох днів після підтвердження цих повідомлень. Щодо зареєстрантів, які неодноразово порушували правила, не було вжито жодних очевидних заходів на рівні облікових записів.
• Це розслідування викликало у відповідь скаргу у Twitter. Після опублікування первинного звіту NameSilo та його широкого поширення в мережі X компанія NameSilo подала скаргу до Twitter, стверджуючи, що акаунт PhishDestroy порушив правила платформи. Команда X з питань довіри та безпеки розглянула скаргу та відновила акаунт, не виявивши жодних порушень. Ця послідовність подій — коли реєстратор подає скаргу до соціальної платформи з метою придушення публікації дослідника з питань безпеки — задокументована та архівується.
• Статус публічної компанії не означає підзвітність. Лістинг компанії NameSilo на біржі NASDAQ (тікер: URL) означає, що вона підпадає під вимоги SEC щодо розкриття інформації та перебуває під пильним наглядом акціонерів. Незважаючи на це, зловживання фішинговими доменами на платформі тривало без змін протягом усього періоду розслідування. Репозиторій доказів структурований з урахуванням потреб у сфері відносин з інвесторами та регуляторних вимог на випадок, якщо буде виправдано вжиття подальших заходів.

Потік даних про виявлення в режимі реального часу

Найсвіжіші фішингові домени NameSilo, виявлені сервісом PhishDestroy. Інформація постійно оновлюється.

Докази та пов’язані з ними розслідування