jojolandings.com
Kategoria: Phishing
Aby korzystać z produktu z pełną funkcjonalnością, musisz kupić licencję na Combo Cleaner. Dostępny jest ograniczony siedmiodniowy bezpłatny okres próbny. Combo Cleaner należy do RCS LT i jest obsługiwany przez tę firmę, spółkę macierzystą PCRisk.com.
Opis jojolandings.com
jojolandings.com wydaje się być bardzo niedawno utworzoną domeną typu landing page, prezentującą interfejs pobierania dokumentu stylizowany tak, aby przypominał usługę podpisu elektronicznego lub udostępniania dokumentów. Na podstawie zrzutu ekranu strona wyraźnie eksponuje branding DocuSign i instruuje odwiedzających, aby otworzyli pobrany załącznik, a ze strony podlinkowano plik ZIP do pobrania.
Sama nazwa domeny nie wydaje się odpowiadać usłudze marki pokazanej w treści strony i nie widać wyraźnych informacji o legalnym operatorze, tożsamości firmy ani niezależnym celu biznesowym. Na podstawie dostępnej treści strona wydaje się działać przede wszystkim jako jednostronicowa strona do dostarczania plików, a nie jako pełnoprawna witryna firmowa lub konsumencka.
Ocena bezpieczeństwa jojolandings.com
Ta domena wykazuje kilka istotnych wskaźników ryzyka w czasie tego skanowania. Została oznaczona przez 12 z 91 silników bezpieczeństwa, przy czym wiele detekcji opisuje tę stronę jako phishingową lub złośliwą. Zrzut ekranu pokazuje również branding związany z dobrze znaną platformą do podpisywania dokumentów przy jednoczesnym użyciu niepowiązanej nazwy domeny, co może wskazywać na próbę podszycia się pod tę usługę. Ponadto strona zawiera odnośnik do archiwum ZIP do pobrania, czyli metody dostarczania powszechnie kojarzonej z kradzieżą danych uwierzytelniających lub kampaniami malware, gdy jest połączona ze stronami docelowymi stylizowanymi na podszywanie się.
Dane z blacklist i dotyczące reputacji były mieszane, a nie całkowicie czyste. Chociaż kilka baz danych zagrożeń skoncentrowanych na treści nie zgłaszało aktywnych wpisów w czasie tego skanowania, jeden wpis na blacklist wskazywał ogólną klasyfikację jako podejrzaną, a adres IP domeny był również notowany na jednej liście blokad reputacji poczty. Sam ten sygnał reputacji poczty byłby słabym wskaźnikiem, ale w tym przypadku występuje obok wielosilnikowych detekcji phishingu, bardzo nowego wieku rejestracji wynoszącego zaledwie 3 dni oraz treści strony, która może próbować naśladować zaufaną markę.
Na podstawie tych ustaleń ta witryna może stwarzać potencjalne ryzyko dla odwiedzających.
Opis techniczny
Strona była udostępniana przez HTTPS z ważnym certyfikatem TLS wydanym przez powszechnie uznany urząd certyfikacji, a ruch wydaje się być kierowany przez infrastrukturę Cloudflare. Adres IP serwera wskazuje na hosting Cloudflare w Toronto, Canada, a domena korzysta z nameserverów Cloudflare. Ważny certyfikat pomaga szyfrować ruch podczas transmisji, ale sam w sobie nie potwierdza, że treść strony jest godna zaufania.
Z perspektywy bezpieczeństwa domeny rejestracja jest wyjątkowo świeża, a DNSSEC wydaje się niepodpisany. Strona jest minimalistyczna i wydaje się koncentrować na dostarczaniu pliku ZIP, a nie na zapewnianiu szerszej funkcjonalności witryny lub przejrzystych informacji o właścicielu, co może stanowić problem techniczny i operacyjny, gdy rozpatruje się to łącznie z wynikami detekcji.
Podziel się swoimi doświadczeniami z tą witryną. Czy była bezpieczna? Czy wystąpiły jakieś problemy?