metamskdwnld.gitbook.io
Kategoria: Phishing
Aby korzystać z produktu z pełną funkcjonalnością, musisz kupić licencję na Combo Cleaner. Dostępny jest ograniczony siedmiodniowy bezpłatny okres próbny. Combo Cleaner należy do RCS LT i jest obsługiwany przez tę firmę, spółkę macierzystą PCRisk.com.
Opis metamskdwnld.gitbook.io
Ta domena wydaje się być stroną hostowaną na GitBook, przedstawiającą się jako dokumentacja lub instrukcja instalacji rozszerzenia przeglądarkowego MetaMask. Tytuł strony, metadane i zrzut ekranu odnoszą się do „MetaMask Chrome Extension” oraz „How to install”, a treść wydaje się naśladować oficjalne materiały pomocy dotyczące produktu lub wdrożenia dla portfela kryptowalutowego i rozszerzenia przeglądarkowego Web3.
Na podstawie struktury subdomeny strona jest hostowana w ramach gitbook.io, a nie w głównej domenie marki MetaMask. GitBook jest legalną platformą do publikowania dokumentacji, ale strony hostowane na współdzielonych platformach publikacyjnych mogą być tworzone przez podmioty trzecie. W tym przypadku wzorzec nazewnictwa „metamskdwnld” oraz użycie brandingu MetaMask sugerują, że strona może próbować upodobnić się do oficjalnej dokumentacji MetaMask lub instrukcji pobierania.
Strona nie wydaje się być pełnoprawnym sklepem e-commerce. Zamiast tego wydaje się działać jako markowa strona docelowa lub zasób w stylu dokumentacji związany z instalacją oprogramowania kryptowalutowego, co sytuuję ją bliżej strony wsparcia/pobierania portfela kryptowalutowego niż konwencjonalnej witryny biznesowej.
Ocena bezpieczeństwa metamskdwnld.gitbook.io
W czasie tego skanowania wiele sygnałów bezpieczeństwa wskazywało na podwyższone ryzyko. Domena została oznaczona przez 14 z 91 silników bezpieczeństwa, przy czym wykrycia ogólnie opisywały phishing lub złośliwe zachowanie. Ponadto strona wizualnie prezentuje branding MetaMask, będąc jednocześnie hostowaną w subdomenie GitBook podmiotu trzeciego, a nie w oficjalnej domenie należącej do MetaMask, co bardzo przypomina podszywanie się pod markę i może mieć na celu wprowadzenie w błąd odwiedzających szukających prawdziwego rozszerzenia portfela.
Pozostałe sygnały są mieszane, ale nie przeważają nad wskaźnikami phishingu. Skan plików pod kątem malware nie wykazał oznaczonych plików w czasie analizy, a kilka głównych baz danych zagrożeń było czystych. Jednak adres IP domeny figuruje na jednej liście blokowania reputacji poczty, co samo w sobie jest słabszym sygnałem, ale nadal warto to odnotować. Brak bezpośrednich ustaleń dotyczących malware nie podważa silniejszych wykryć związanych z phishingiem ani mylącego wzorca brandingu widocznego na stronie.
Biorąc pod uwagę zgodność wielu silników co do phishingu, użycie podobnej strony GitBook utrzymanej w stylistyce MetaMask oraz bardzo niski opublikowany wynik zaufania, ta witryna może stwarzać potencjalne ryzyko dla odwiedzających w czasie tego skanowania.
Opis techniczny
Strona jest dostarczana przez HTTPS z ważnym certyfikatem TLS wydanym przez Google Trust Services i jest obsługiwana przez infrastrukturę Cloudflare pod adresem IP 172.64.147.209. Lokalizacja hostingu wskazuje na Kanadę, a serwer WWW jest osłonięty przez Cloudflare. Domena używa serwerów nazw Cloudflare, podczas gdy DNSSEC wydaje się niepodpisany.
Z technicznego punktu widzenia strona jest lekka i hostowana na GitBook, a zasoby pomocnicze są ładowane z GitBook oraz powiązanych domen dostarczania treści. W dostępnym skanie plików nie oznaczono żadnych złośliwych plików, ale główny problem w tym przypadku wydaje się dotyczyć ryzyka socjotechniki lub phishingu, a nie dostarczania exploitów. Korzystanie z zaufanej konfiguracji hostingu/CDN i ważnego SSL nie powinno być interpretowane jako dowód legalności, ponieważ takie usługi są powszechnie używane zarówno przez legalne, jak i zwodnicze strony.
Podziel się swoimi doświadczeniami z tą witryną. Czy była bezpieczna? Czy wystąpiły jakieś problemy?