CASE STUDY - Jak znalazłem strony scamera sprzedającego Adderall XR w darknecie :D

Cześć!

Całkiem spontanicznie wpadłem na pomysł sprawdzać w darknecie wordpressy po najmniejszej linii oporu i z ciekawości zacząłem sprawdzać czy mają wyłączone REST API.

Przypominam, że napisałem poradnik o tym jak wyłaczyć REST API:

• Na blogu getpaid: WordPress: Jak wyłączyć anonimowy dostęp do REST API oraz zablokować enumerację użytkowników
• Na forum również: Blokujemy anonimowy dostęp do REST API czyli zabezpiecz WP [AKTUALIZACJA 2021]

Ten mały eksperyment przerodził się w ciekawe doświadczenie, gdzie znalazłem postawiony na wordpressie market z nielegalnymi rzeczami.

Z ciekawości przeglądałem listę userów i wybrałem sobie „ofiarę”, której nick mógłby zdradzać aktywność w clearnecie¹. Wybrałem sobie użytkownika „ayastark12” jak na poniższych screenach, który sprzedaje Adderall XR².

• Ciekawostka: Ayastark12 → Ayastark → Aya Stark → Arya Stark = fikcyjna postać w serialu Gra o Tron

Jak widać na powyższym screenie

• slug: ayastark – z takim nickiem założył konto
• name: ayastark12 – na taki nick zmienił nazwę. Każdy użytkownik wordpressa domyślnie może to zrobić

Zobaczmy profil na markecie

Mając nazwę usera (ayastark / ayastark12) przy użyciu google hackingu³ zacząłem szperać. Znalazłem profil na:

• pinterest - https://pl.pinterest.com/ayastark12
• medium - https://medium.com/@ayastark12
• dodatkowo e-mail ayastar12@gmail.com

Później użyłem narzędzi do szukania informacji w necie by zautomatyzować trochę proces i go rozszerzyć o więcej stron, które google mogło wyindeksować. Znalazłem wiele profili, które zostały wykasowane. Czyżby gość zdał sobie sprawę, że używanie tego samego nicku w clearnecie i darknecie nie jest dobrym pomysłem?

1. https://twitter.com/ayastark12
2. https://www.gamepedia.com/members/ayastark12
3. https://ask.fm/ayastark12
4. https://www.reddit.com/user/ayastark12
5. https://news.ycombinator.com/user?id=ayastark12
6. https://500px.com/p/ayastark12?
7. https://ask.fm/ayastark12
8. https://badoo.com/profile/ayastark12
9. https://tinder.com/@ayastark12
10. https://www.cloob.com/name/ayastark12
11. https://ayastark12.crevado.com/
12. https://gitlab.com/ayastark12
13. https://imgur.com/user/ayastark12
14. https://www.meetme.com/ayastark12
15. https://pastebin.com/u/ayastark12
16. https://photobucket.com/user/ayastark12/library
17. https://www.reverbnation.com/ayastark12
18. https://www.mixcloud.com/ayastark12/
19. https://www.taringa.net/ayastark12
20. https://www.tripadvisor.com/Profile/ayastark12

Chyba jednak nie wykasował wszystkich profili

1. https://www.facebook.com/ayastark12 przekierowanie na https://www.facebook.com/aya.stark.12
2. https://pl.pinterest.com/ayastark12 – tutaj widać obrazek leku Adderall XR więc mam pewność, że to ta sama osoba. Dodatkowo podpisane jako „Mike Derulo” w galerii „banks”. W komunikatorze Wickr jest zarejestrowany jako Bankst90 - taką informacje podaje na pierwszej domenie znajdujacej się pod listą profili.
3. https://medium.com/@ayastark12 linkowanie do domeny https://magichighincense.com (o domenie niżej)
4. https://namemc.com/search?q=ayastark12 – lubi grać w Minecrafta(?)
5. https://community.fandom.com/wiki/User:Ayastark12 – przypominam, że z dużym prawdopodobieństwem jest fanem serialu Gra o Tron

Poza profilami i stronami znalazłem również jego e-mail - ayastark12@gmail.com ( spam boty łapcie i wysyłajcie ), na który rejestrował 3 domeny.

Powiązane domeny, które znalazłem to:

hxxps://magichighincense.com – świeża stronka

hxxp://buysiberianhuskypuppies.com/ - już nie działa ale w necie jest oznaczona jako (potencjalny?) scam. Przykładowa recenzja: https://puppyscam.com/puppys/buysiberianhuskypuppies-com-breeder-scam-review/

Domena hxxp://buysiberianhuskypuppies.com została zarejestrowana 19 września 2020 roku w NameSilo, LLC przez pośrednika privacyguardian.org przy użyciu następujących danych:

• Nazwa: Administrator domeny
• E-mail: pw-d1e4b5c8ee60767ed917e2eb0793c51b@privacyguardian.org

Ta technika rejestracji ma na celu ukrycie danych abonenta (w tym przypadku scamera) i nosi nazwę whois proxy. Nie mylić z privacy whois, bo to 2 różne rzeczy.

Kolejny scam tej samej osoby, to domena hxxps://upsshippingexpress.com, którą namierzyli wolontariusze z AA419⁴. Ponoć przy wykorzystaniu tej strony był prowadzony spoofing UPS, czyli podszywające się wiadomości e-mail pod UPS. Przy pomocy tej domeny prawdopodobnie ofiara była wciągana w fikcyjny transfer sporej kwoty pieniędzy. Więcej o tym znajdziesz na Wikipedii pod hasłem „Nigeryjski szwindel”.

Jak widać, tutaj już próbował dbać o anonimowość wykupując hostingi offshore takie jak:

• Shinjiru
• SKB Enterprise

Ostatecznie ukrywając się za Cloudflare. Jednak wątpię by poczynił odpowiednie kroki i strzelam na ślepo, że nadal można było sprawdzić adres IP na jakim strona stoi mimo iż ukrywał się za CloudFlare (przykładowe case study dostępne w mentoringu)

Lecę dalej z jego scamami Następna strona: hxxps://medicalstoresonline.com

Whois w/w domen jako rejestratora wskazuje na namecheap.com, a DNS'y wskazują serwery firmy interserver.net, która w USA jest znana z taniego hostingu.

Ciekawy jestem dlaczego nie ukrył w tym przypadku danych. Raczej założył konto na fejkowe dane, bo na stronie „sprzedaje” m.in. metamfetamine. Numer telefonu z tej strony doprowadził mnie do hxxp://www.canada-pharm-24h.com. Nie pierwszy raz oszuści wykorzystują prawdziwe numery by uwiarygodnić swój proceder.

Tak natomiast wygląda historia domeny

Nie byłbym sobą gdybym nie sprawdził założonych kont na tych stronach. Sprawdzając userów po REST API jedna ze stron wypluła mi „ciekawe” informacje

Szybki research przy wykorzystaniu niezbyt skomplikowanego google hackingu.

Social media (puste):

1. https://twitter.com/teddyward15
2. https://www.instagram.com/teddyward15

oraz strony

1. hxxps://healthcarepharmaceutic.com
2. hxxps://generalchemicalstore.com
3. hxxps://goûtdediamants.com
4. hxxps://takangcoin.com
5. hxxp://samsunggizmos.com - strona w produkcji!

Kopiąc głębiej pewnie znalazłbym jeszcze więcej rzeczy ale czy jest sens? To wszystko było możliwe przez niezablokowane REST API WordPressa oraz głupotę

Także zapamiętajcie! Łatajcie strony oraz dbajcie o prywatność, anonimowość i bezpieczeństwo!

Skoro ja darmowymi sposobami i z odrobiną czasu byłem wstanie znaleźć tyle informacji o oszuście, to jestem pewny, że armia smutnych panów mając środki finansowe i prawne bez problemu jest wstanie go namierzyć. Wystarczy tylko 1 raz nie użyć przeglądarki Tor lub VPN by taką osobę dorwać.

≠ - nie jest równy

• Prywatność ≠ bezpieczeństwu

• Prywatność ≠ anonimowości

• Bezpieczeństwo ≠ anonimowości

• Anonimowość ≠ prywatności i bezpieczeństwu

O tym doskonale wiedzą moi podopieczni z mentoringu, który prowadzę - BEZPIECZEŃSTWO I ANONIMOWOŚĆ

Pozdrawiam serdecznie

¹ – clearnet – w darknecie mówi się tak na „zwykły internet” gdzie jest uwielbiane google, social media i śmieszne kotki

² – Adderall XR, to lek psychotropowy niedopuszczony w Polsce do obrotu ale znajduje się na liście importu docelowych leków (wiki). Adderall ma duży potencjał do nadużywania ponieważ zwiększa koncentrację i pamięć, a przy tym ma efekt pobudzenia gdyż zawiera w sobie cztery różne sole amfetaminy.

³ – google hacking – specjalne dobranie komend w wyszukiwarce google pomagające wyszukiwać tylko konkretne informacje, np.: site: adres.pl. Więcej informacji o google hackingu znajdziesz również w moim mentoringu getpaid20.pl/harry

⁴ – AA419 (Artists Against 419, pol. Artyści Przeciwko 419) jest społecznością internetową (wolontariat), która poświęca czas na wykrywanie i w miarę możliwości utrudnianie pracy scamerom. Katalogują i zgłaszają domeny. 419 oznacza Nigeryjski przekręt.