Раскрытие масштабной сети мошеннических схем с помощью анализа веб-сайтов.
Веб-сайты, замешанные в мошенничестве и онлайн-аферах, редко работают в полной изоляции. Даже если люди, стоящие за веб-сайтом, пытаются скрыть свою личность, техническая инфраструктура, исторические записи и связи с другими онлайн-сервисами могут предоставить ценные зацепки для расследования.
Отказ от ответственности: Данное исследование основано на реальном случае. Cybertrace расследование. Однако имена, домены и идентифицирующие данные были изменены для защиты конфиденциальной информации и источников расследования.
В одном из последних Cybertrace В ходе расследования наши следователи изучили веб-сайт, связанный с платежами, который, как предполагается, имеет связи с более широкой международной сетью мошенничества в сфере инвестиций.
Расследование демонстрирует, как криминалистический анализ веб-сайтов может выходить за рамки простого определения того, кто зарегистрировал домен. Изучая историческую инфраструктуру, связанные домены, поддомены, интерфейсы веб-сайтов и другие технические индикаторы, следователи иногда могут выявить взаимосвязи, которые не очевидны на общедоступном веб-сайте.
Исследование
Cybertrace Ранее были получены разведывательные данные об инфраструктуре обработки платежей, связанной с международными операциями по мошенничеству с инвестициями.
Разведывательная информация была собрана с помощью сочетания технического анализа, разведки на основе открытых источников (OSINT) и агентурной разведки (информаторов), полученной в ходе расследований мошеннических операций за рубежом.
В ходе дальнейшего анализа, Cybertrace Была выявлена серверная среда, используемая многочисленными веб-сайтами и сервисами, связанными с платежами, представляющими высокий риск.
Однако тот факт, что разные веб-сайты использовали один и тот же IP-адрес, не считался достаточным доказательством того, что они принадлежат одним и тем же людям или управляются ими. IP-адрес был связан с сетью доставки контента (CDN) , что означало, что несвязанные между собой веб-сайты потенциально могли использовать одну и ту же инфраструктуру. Это различие было важным.
В ходе расследования инцидентов на веб-сайтах часто выявляются технические взаимосвязи, но следователям также необходимо определить, являются ли эти взаимосвязи действительно значимыми или просто результатом использования общих хостинг-провайдеров, служб безопасности или технологических компаний. Именно здесь экспертные знания имеют решающее значение, чтобы избежать ложных связей между объектами или устранить пробелы в информации и доказательствах, которые в противном случае остались бы нерешенными.
Взгляд за пределы IP-адреса
Cybertrace Поэтому были изучены дополнительные технические показатели.
Исторический анализ выявил многочисленные поддомены, связанные с платежами и инфраструктурой. Дальнейшее исследование показало сходство между несколькими веб-сайтами, включая поддомены с аналогичной структурой: для продавцов, администрирования, учетных записей и платежей.
На сайтах также были представлены в значительной степени схожие шаблоны страниц и интерфейсы.
В совокупности эти показатели указывали на то, что ряд сервисов, ранее имевших отдельные бренды, могли быть связаны общей базовой платформой, серверной средой или поставщиком услуг. Исторические данные оказались особенно полезными.
Некоторые веб-сайты впоследствии перешли на другие хостинговые платформы, а это означало, что их текущая техническая конфигурация больше не отражала прежнюю связь с ними. Анализ исторической инфраструктуры позволил... Cybertrace выявить связи, которые было бы трудно обнаружить, изучив веб-сайты только в том виде, в котором они существовали на момент расследования.
Выявление более широкой сети веб-сайтов
В ходе расследования также была выявлена гораздо более широкая сеть связанных доменов, ассоциированных с изучаемым веб-сайтом.
Несколько доменов, использующих вариации одного и того же названия бренда, ранее перенаправляли на основной веб-сайт или иным образом были с ним связаны. Это указывало на то, что веб-сайт являлся частью более широкой онлайн-экосистемы, а не функционировал как изолированный домен. Такой анализ может быть особенно ценным при расследовании мошеннических схем.
Мошеннические сети часто используют множество веб-сайтов, брендов и доменных имен. Веб-сайты могут быть заменены, перенаправлены или заброшены по мере увеличения числа жалоб или усиления внимания со стороны регулирующих органов. Поэтому анализ одного веб-сайта может дать лишь частичную картину.
Исторические исследования доменов и инфраструктуры могут выявить более ранние веб-сайты, связанные с ними услуги и технические взаимосвязи, которые остаются актуальными даже после изменения общедоступных веб-сайтов.
Сочетание технических данных с разведывательными сведениями
Полученные технические результаты затем были сопоставлены с данными разведки. Cybertrace Получено независимым образом от источников, работающих в зарубежных мошеннических колл-центрах.
Эти источники выявили веб-сайт, технически связанный с расследуемой инфраструктурой, который использовался в мошеннических инвестиционных операциях и связанных с ними схемах обработки платежей. Это предоставило важный дополнительный слой доказательств.
Технические сходства могут указывать на то, что веб-сайты каким-то образом связаны между собой, но они не обязательно объясняют, как эти веб-сайты используются. В данном исследовании независимая информация об оперативном использовании части инфраструктуры повысила значимость полученных технических данных.
В конечном итоге, сочетание различных источников информации обеспечило более прочную основу для оценки взаимосвязи между исследуемым веб-сайтом и более широкой сетью обработки платежей, чем любой отдельный технический показатель сам по себе.
Что установило расследование
Cybertrace Были выявлены существенные косвенные доказательства, связывающие исследуемый веб-сайт с более широкой сетью обработки платежей, связанной с международным инвестиционным мошенничеством.
В ходе расследования были выявлены дублирующаяся инфраструктура, сходства между системами обработки платежей и администрирования, связанные доменные сети и существенно схожие интерфейсы веб-сайтов.
Также были выявлены связи с технологиями, используемыми другими компаниями по обработке платежей, имеющими отношение к мошеннической деятельности в интернете.
Важно отметить, что Cybertrace сделал не сделать вывод, что общая инфраструктура является общим владением.
Имеющиеся данные подтверждали техническую связь между веб-сайтом и более широкой сетью, однако наличие общего владельца или оперативного контроля не было подтверждено. Для установления личности организаций, контролирующих конкретную инфраструктуру, потребовалась бы дополнительная информация от соответствующих поставщиков услуг.
Это различие важно в любом судебно-медицинском расследовании.
Цель анализа веб-сайтов заключается не просто в поиске технических сходств и заявлении о связи двух веб-сайтов. Следователи должны учитывать достоверность каждого признака, альтернативные объяснения и то, подтверждают ли независимые доказательства тот или иной вывод.
Что демонстрирует этот случай
Данное исследование демонстрирует, как криминалистический анализ веб-сайтов может выявить информацию, которая может быть не видна при обычном поиске по самому сайту.
Сочетание анализа текущей и исторической инфраструктуры, исследования доменов, идентификации поддоменов, технических сравнений, OSINT и других методов разведывательной деятельности может позволить выявить более широкие сети связанных веб-сайтов и сервисов.
Полученные данные могут помочь выявить новые направления расследования, установить связи между онлайн-ресурсами и определить, где можно получить дополнительную информацию от хостинговых компаний, поставщиков технологий, регистраторов или других третьих сторон.
Экспертиза веб-сайтов не всегда приводит к установлению личности человека, стоящего за сайтом. Однако, если несколько независимых источников доказательств сходятся воедино, это может значительно улучшить наше понимание того, как работает веб-сайт и кто или что может быть с ним связано.
