پژوهشگران امنیتی گزارشی منتشر کردند که در آن موفق به شناسایی ۱۰ آدرس وب تنها چند هفته پیش از ثبت رسمی آن‌ها شده‌اند. این دامنه‌ها سپس فعال شده و به عنوان نقاط ورود به یک سایت فیشینگ با تم AliExpress مورد استفاده قرار گرفتند.
جزئیات فنی شناسایی و تحلیل
آزمایشگاه‌های تحقیقاتی EfficientIP اعلام کردند که این دامنه‌های احتمالی با پسوند .cyou را در تاریخ ۹ ژوئن شناسایی کرده و به فید Threat Intelligence مربوط به DNS خود افزوده‌اند. این دامنه‌ها متعاقباً در تاریخ ۲ جولای ثبت شده و شروع به Resolve شدن به IPهای خاص کردند. ردیابی فعالیت‌های DNS و Redirect این آدرس‌ها، پژوهشگران را به یک سایت جعلی AliExpress رساند.
هر ۱۰ دامنه از یک الگوی مشابه (یک رقم و پنج حرف کوچک انگلیسی) پیروی می‌کردند، تاریخ ثبت یکسانی داشتند و به سه آدرس IP در یک Subnet واحد اشاره می‌کردند. اگرچه EfficientIP این الگو را مشابه DGA (الگوریتم تولید دامنه) توصیف کرد، اما تأکید داشت که این الگو به تنهایی ثابت نمی‌کند که حتماً یک الگوریتم تولید دامنه در کار بوده است.
ساختار کمپین و مکانیسم ردیابی
هیچ‌کدام از این دامنه‌ها مستقیماً میزبان محتوای فریبنده (Lure) نبودند، بلکه بازدیدکنندگان را از طریق یک لایه ردیابی (Tracking Layer) هدایت می‌کردند که حاوی پارامترهای مربوط به کمپین، کلیک یا Affiliate بود. این متد به عامل تهدید اجازه می‌دهد تا بدون نیاز به بازسازی کل کمپین، دامنه‌های شناسایی شده و مسدود شده را سریعاً جایگزین کند.
به دلیل تاریخچه کوتاه این دامنه‌ها، کنترل‌های مبتنی بر اعتبار (Reputation-based controls) ممکن است در لحظه ورود اولین بازدیدکنندگان، نتوانند آن‌ها را به عنوان سایت‌های مخرب طبقه‌بندی کنند.
هدف نهایی و خطرات امنیتی
زنجیره هدایت در نهایت به سایتی ختم می‌شد که در کلمه “shop” به جای حرف “o” از عدد “0” استفاده کرده بود. این سایت یک افزونه مرورگر (Browser Extension) را تبلیغ می‌کرد که مشابه برند قانونی Alitools طراحی شده بود و کاربران را برای افزودن آن به مرورگر ترغیب می‌کرد.
بر اساس تحلیل‌ها، بازدیدکنندگان با خطرات زیر روبرو بودند:
- سرقت اطلاعات ورود (Credentials) و داده‌های پرداخت.
- مانیتورینگ و افشای فعالیت‌های مرورگر از طریق افزونه نصب شده.
- کسب درآمد توسط عامل تهدید از طریق پارامترهای Affiliate.
توصیه‌های امنیتی
کارشناسان توصیه می‌کنند که دامنه‌ها و IPهای شناسایی شده مسدود شوند و لاگ‌های DNS و Proxy برای شناسایی اتصالات احتمالی در گذشته بررسی گردند. در صورتی که کاربر با این سایت تعامل داشته باشد، اقدامات زیر ضروری است:
- تغییر فوری رمز عبور (Reset Credentials).
- تماس با صادرکنندگان کارت‌های بانکی.
- حذف کامل افزونه‌های مشکوک از مرورگر.
