paie-lebon.duckdns.org
Kategoria: Phishing
- Nie loguj się tu ani nie płać. Zamknij stronę. Jeśli wpisano hasło, zmień je tam, gdzie zwykle go używasz.
- Już odwiedziłeś? Sprawdź urządzenie. Bezpłatne skanowanie pokaże, czy coś zostało zainstalowane.
- Zatrzymaj następną. Ochrona WWW Combo Cleaner blokuje phishing i strony oszustw, zanim się załadują.
Combo Cleaner to własne narzędzie antymalware PCrisk, należące do RCS LT. Skanowanie jest bezpłatne; usunięcie wykrytych zagrożeń wymaga licencji (7-dniowy bezpłatny okres próbny).
Opis paie-lebon.duckdns.org
Ta domena wydaje się hostować stronę logowania stylizowaną tak, aby przypominała Leboncoin, znany francuski serwis ogłoszeniowy. Tytuł strony, widoczne oznakowanie i zrzut ekranu wskazują, że prezentuje interfejs „leboncoin - connexion” i zachęca odwiedzających do podania adresu e-mail oraz hasła.
Sama domena jest subdomeną DuckDNS, a nie oficjalną własnością internetową Leboncoin, co sugeruje, że może nie być obsługiwana przez legalny serwis. Strona ładuje również zasoby z oddzielnego hosta web.app, co wskazuje na lekki front-end hostowany zewnętrznie, a nie standardowe korporacyjne wdrożenie logowania. Na podstawie dostępnej treści i klasyfikacji strona wydaje się być przeznaczona do zbierania danych uwierzytelniających kont, a nie do świadczenia niezależnej usługi.
Ocena bezpieczeństwa paie-lebon.duckdns.org
W czasie tego skanowania wiele sygnałów bezpieczeństwa wskazywało na podwyższone ryzyko. Domena została oznaczona przez 18 z 91 silników bezpieczeństwa, a kilku dostawców klasyfikacji stron internetowych zaklasyfikowało ją jako phishing lub coś związanego z oszustwami. Zrzut ekranu dodatkowo pokazuje formularz logowania ściśle imitujący oznakowanie Leboncoin, hostowany na niepowiązanej subdomenie DuckDNS, co może być zgodne z działaniem polegającym na wyłudzaniu danych uwierzytelniających.
Chociaż jeden skan malware nie wykazał złośliwych plików, a kilka źródeł blacklist było czystych, ustalenia te nie przeważają w tym przypadku nad szerszym konsensusem dotyczącym phishingu. Połączenie silnego wykrywania przez wiele silników, bardzo niskiego wyniku zaufania oraz oznakowania, które wydaje się naśladować znaną usługę w nieoficjalnej domenie, istotnie zwiększa obawy.
Na podstawie tych ustaleń ta witryna może stwarzać potencjalne zagrożenia dla odwiedzających.
Opis techniczny
Witryna była dostępna przez HTTPS z ważnym certyfikatem Let's Encrypt, hostowana na serwerze Apache pod adresem IP 64.89.160.102 w Luksemburgu. Domena używa serwerów nazw DuckDNS, jako nadrzędna nazwa hosta jest stosunkowo stara i ma wyłączone DNSSEC (unsigned). Ważny certyfikat nie powinien być traktowany jako dowód legalności, ponieważ tanie certyfikaty są powszechnie używane zarówno przez legalne, jak i nadużywające strony.
Strona wydaje się technicznie prosta, z tylko jednym przeskanowanym plikiem i kilkoma zewnętrznymi zasobami ładowanymi z flowering-pen.web.app. W dostarczonym skanie malware nie zgłoszono oznaczonych plików ani iframe, ale użycie zasobów hostowanych przez podmiot trzeci obok strony logowania naśladującej markę może nadal budzić obawy z perspektywy podszywania się i bezpieczeństwa danych uwierzytelniających.
Podziel się swoimi doświadczeniami z tą witryną. Czy była bezpieczna? Czy wystąpiły jakieś problemy?