• XSS.stack #1 – первый литературный журнал от юзеров форума

ФБР захватило домены Genesis Market, десятки человек арестованы

Отслеживать
Пожалуйста, обратите внимание, что пользователь заблокирован
ФБР захватило домены Genesis Market, десятки человек арестованы

Федеральное бюро расследований (ФБР) США перехватило контроль над клирнет-доменами крупной даркнет-площадки Genesis Market, на которой можно было приобрести пароли и персональные данные, украденные с миллионов устройств с помощью вредоносов и инфостилеров, а также само это ПО. При этом, по данным независимого журналиста Брайана Кребса (Brian Krebs), конфискация доменов сопровождающиеся «десятками арестов» как внутри США, так и в других странах мира.


ИБ-аналитик уточил, что ФБР удалось захватить как минимум несколько доменов, связанных с Genesis. Их посетителей встречают сообщения о том, что конфискация доменов произведена в соответствии с ордером Окружного суда США по Восточному округу штата Висконсин. При этом ни прокуратура этого округа, ни головной офис ФБР на запросы о предоставлении комментариев не ответили.


Тем не менее, очевидно, что речь идут о крупной международной операции, На баннере про захват доменов присутствуют логотипы силовых структур из Австралии, Канады, Дании, Германии, Нидерландов, Испании, Швеции и Великобритании.

Коснувшись истории существования площадки, Кребс напомнил, что Genesis Market предоставлял доступ к ботам браузеров, его отпечаткам, благодаря чему можно было выдавать себя за свою жертву. Именно так киберпреступникам удавалось обходить двухфакторную аутентификацию или заходить в личные кабинеты банков. Не исключено, что уникальная рыночная модель позволила площадке просуществовать на рынке почти пять лет.





При этом стоимость ботов Genesis сильно зависела от содержания слепка браузера. Дороже всего покупателям обходились боты с большим количеством паролей и аутентификационных файлов cookie, либо же те, что дают доступ к финансовым аккаунтам жертвы.





Кроме того, за годы существования Genesis внедрил ряд киберпреступных инноваций. Лучшей из них Кребс называет Genesis Security — настраиваемый плагин браузера, который может загружать профиль бота Genesis, чтобы браузер имитировал практически все важные характеристики устройства жертвы, от размера экрана и частоты обновления до идентификационной строки клиентского приложения, привязанной, опять же, к браузеру жертвы.

Одной из заметных особенностей Genesis стало то, что покупатели ботов могут сохранять доступ к зараженным системам в режиме реального времени. Поэтому настоящий владелец данных не сможет их защитить, просто создав новые профили, ведь кибервзломщик об этом моментально узнает и сможет применить новые учетные данные.
 
Довольно занятно, почему Subject Domain 11 засекречен, как и вся секция Evidence Establishing Probable Cause To Subject Domain 11 :) Вангую, что домен связан с личностью владельца.

Вот это тоже забавно:
On or about December 9, 2020, the FBI, with assistance from a foreign law
enforcement partner, obtained a forensic image of the server hosting the Genesis Backend #1 IP
Addresses. Based on analysis of that forensic image, the FBI confirmed that this server was hosting
Genesis Market’s backend (the “Genesis Backend Server #1”), as the FBI found voluminous
records on that server associated with Genesis Market’s operations. For example, the server
contained, among other things, usernames; passwords; email accounts; Jabber 7 accounts; BTC
addresses; user search history; user purchase history; user tickets and comments; and records of
packages sold or displayed for sale on Genesis Market. The FBI reviewed this data and found (1)
that as of on or about December 7, 2020, there were approximately 33,000 Genesis Market users
and approximately 900,000 individual packages (or “bots”) that had been listed for sale or sold on
Genesis Market, and (2) that more than $4,000,000 dollars’ worth of virtual currency had been
deposited into Genesis Market.
И:
28. Shortly after investigators obtained the forensic image of the Genesis Backend
Server #1, Genesis Market went offline. The investigation further found that during this downtime,
the administrators of Genesis Market changed their hosting infrastructure (i.e., leased new servers
and associated the market with different IP address, among other things).
Кто-то, блядь, проинформировал клиентов о возможных проблемах? Были ли они сами в курсе реальных проблем? Или абузоустойчивый хостер как всегда сказал "проблемы с питанием" или "слетел диск", но что-то мне подсказывает, что Генезис были весьма в курсе происходящего (вполне реально зная методику криминалистов ФБР спалить их работу при адекватных админах).
Thereafter, the FBI continued to work to identify the infrastructure supporting Genesis Market, and in or around
January 2022, determined that Genesis Market’s new backend server was located outside of the
United States. In or around May 2022, with assistance from another foreign law enforcement
partner, the FBI obtained a forensic image of the server that was hosting the then-active Genesis
Market backend server (the “Genesis Backend Server #2). Analysis of that forensic image revealed
that it contained much of the same information as the Genesis Backend Server #1, as well as
updated user data and other information
Круговорот баз в природе: база слита два раза (декабрь 2020 и мая 2022), а в паблике нихуя :)

Сочувствую тем, у кого хватает мозгов продолжать работать на новом зеркале Генезиса :)
 
Чисто для информации, отсвеченные айпишки и хостеры:
62.138.8.171 astra5117.startdedicated.net DE-GODADDY-20000919
85.25.203.178 France Strasbourg Bsb-service Dedicated Server Hosting
176.124.192.48 Russian Federation Kaliningrad Dolgova Alena Andreevna cloudx.ru
109.123.95.165 webserver.netequities.net United Kingdom Wandsworth Uk2 Infrastructure
89.42.212.194 Netherlands Amsterdam Fast Serv Inc. QHoster

Жирным выделил бэкенды на абузных хостерах (вроде ничего не напутал). Вероятно у кого в декабре 2020 и мае 2022 были проблемы с питанием в ДЦ :)
 
почему у всех "абузных" хостеров с серверами "в Ливане" и "в Сирии" трассировка заканчивается в Worldstream, Voxility, или PIN Spb? 🤔
 
in or around January 2022, determined that Genesis Market’s new backend server was located outside of the United States.
тоже прикол, конечно.
эта фраза означает, что old backend server was located inside the United States
 
Dread Pirate Roberts сказал(а):
почему у всех "абузных" хостеров с серверами "в Ливане" и "в Сирии" трассировка заканчивается в Worldstream, Voxility, или PIN Spb? 🤔
Опаснее другой момент: когда вроде трассировка идет на какие-то левые сетки, что сроучены в том же самом Пин Спб, Селектеле или другом известном месте, и у клиента есть определенные ожидания "абузности" (может исходя из личного опыта, может по каким-то другим причинам). А потом оказывается, что на самом деле айпи просто прокинут через впн на сервер в Хецнере. И большинство сильно не заморачивается, пользуется админами этого хостера или форумными админами, а бэкапы уже ушли куда надо.
 
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх