Ερευνητές από την ομάδα ασφαλείας OpenDNS της Cisco έχουν αποκαλύψει ένα πολύπλοκο σύστημα phishing με στόχο την συλλογή διαπιστευτηρίων χρήστη από διάφορες υπηρεσίας που σχετίζονται με Bitcoin, το οποίο, σύμφωνα με μια πιο προσεκτική ματιά, οδήγησε σε μια γνωστή αδίστακτη hosting εταιρεία.
Οι πρώτοι που έπεσαν πάνω σ’ αυτή την εκστρατεία ήταν οι ερευνητές ασφαλείας από τη CYREN, που την εντόπισαν κατά την πρώτη εβδομάδα του Ιουνίου.
Οι απατεώνες πίσω από την phishing εκστρατεία στηρίχτηκαν σε τέλεια κλωνοποιημένες σελίδες Web για διάφορες υπηρεσίες Bitcoin wallet, με ιδιαίτερη έμφαση στην Blockchain.info, μία από τις πιο σημαντικές περιοχές στα Bitcoin οικοσυστήματα.
Οι phishers διεξήγαγαν μια Google AdWords καμπάνια για να δελεάσουν τα θύματα να μπουν στις κακόβουλες ιστοσελίδες τους, καταχωρημένες χρησιμοποιώντας typosquatting domains, όπως bioklchain.info αντί για blockhain.info.
Αυτό που τράβηξε την προσοχή της ομάδας OpenDNS ήταν ότι ορισμένες από αυτές τις ιστοσελίδες φιλοξενούνταν σε διευθύνσεις IP που είχαν μια ιστορία.
Ψάχνοντας την τεράστια Whois βάση δεδομένων της OpenDNS, η ομάδα ανακάλυψε ότι η ίδια IP είχε φιλοξενήσει μια πληθώρα κακόβουλων sites στο παρελθόν, όπως το pharma spam και άλλα phishing domains, για υπηρεσίες όπως banking portals, iCloud λογαριασμούς και πολλά άλλα.
Επιπλέον, τα περισσότερα από αυτά τα phishing domains καταγράφηκαν με μόνο έξι διευθύνσεις ηλεκτρονικού ταχυδρομείου. Η OpenDNS λέει ότι το παλαιότερο domain από αυτά τα domains καταχωρήθηκε στις 26 Μαΐου 2016.
Η IP άνηκε σε μια εταιρεία που ονομάζεται Novogara και είναι καταχωρημένη στις Σεϋχέλλες. Η προηγούμενη ονομασία της επιχείρησης ήταν QUASINETWORKS. Πριν από αυτό, είχε το όνομα Ecatel και λειτουργούσε αρχικά στην Ολλανδία μέχρι το Δεκέμβριο του 2015.
Στην Web hosting βιομηχανία, η Novogara είναι αυτό που ονομάζεται «αλεξίσφαιρος πάροχος φιλοξενίας» και αναφέρεται σε εταιρείες που κάνουν τα πάντα για να προστατεύσουν τους πελάτες τους, ακόμα και αν ξέρουν ότι οι πελάτες τους εκτελούν παράνομες δραστηριότητες.
Αυτού του τύπου οι εταιρείες χρησιμοποιούν ασφαλείς διατάξεις της νομοθεσίας σε όλο τον κόσμο που τους επιτρέπουν να αναβάλουν τη νομική ευθύνη για τους πελάτες τους. Επίσης, χρεώνουν περισσότερο από ότι οι κανονικοί hosting πάροχοι, κυρίως επειδή κάνουν τα στραβά μάτια σε ό,τι κάνουν οι πελάτες τους.
Στο παρελθόν, η Novogara συνδέθηκε ιστότοπους παιδικής πορνογραφίας, spam ή απ’ όπου προέρχονταν DDoS traffic. Η τοξική κίνηση της εταιρείας έκανε τόσο κακό, το 2008, που οι συνάδελφοι-εταιρείες της σταμάτησαν να «συναναστρέφονται» με την Novogara (Ecatel τότε). Το 2012, η Anonymous κολεκτίβα εκτέλεσε πολλαπλές επιθέσεις DDoS εναντίον του δικτύου, επειδή φιλοξενούσε παιδική πορνογραφία.
Παρ’ όλα αυτά, αν δεν είναι η Novogara, τότε είναι κάποιος άλλος. Τέτοιου είδους εταιρείες υπάρχουν παντού, από τις ΗΠΑ μέχρι τη Ρουμανία και από τη Ρωσία μέχρι και την Κίνα.
