Группировка Prolific Puma на протяжении как минимум четырех последних лет предоставляет услугу по сокращению ссылок другим злоумышленникам.
Только за последние полтора года хакеры зарегистрировали до 75 000 уникальных доменных имен, в основном злоупотребляя API регистратора NameSilo.
Аналитики компании , специализирующейся на DNS-угрозах, сообщают, что Prolific Puma создает доменные имена, используя RDGA (Registered Domain Generation Algorithm) и использует эти домены для предоставления услуг по сокращению ссылок другим злоумышленникам, «тем самым помогая им избежать обнаружения при распространении фишинговых, мошеннических и вредоносных программ».
Как известно, хакеры часто используют укорачиватели ссылок для фишинговых атак, поэтому Prolific Puma играет важную роль в хакерской цепочке поставок. Исследователи подсчитали, что только за период апреля 2022 года по настоящее время злоумышленники зарегистрировали от 35 000 до 75 000 уникальных доменных имен (до 800 доменов в день).
Эксперты пишут, что примечательной особенностью деятельности этой группы является злоупотребление услугами американского регистратора доменов и хостера NameSilo, который отлично подходит для целей Prolific Puma благодаря наличию API, облегчающего массовую регистрацию. Эксперты отмечают, что этот регистратор в целом часто подвергается злоупотреблениям со стороны киберпреступников.
Хотя многочисленные домены группировки распределены по 13 разным доменным зонам, известно, что с мая 2023 года группа зарегистрировала тысячи американских доменов верхнего уровня (usTLD), неоднократно используя для этого адрес электронной почты, содержащий отсылку к песне «OCT 33» группы Black Pumas: blackpumaoct33@ukr[.]net.
Группировка прибегает к умышленному состариванию зарегистрированных доменов, паркуя их на несколько недель перед использованием. Обычно в течение этого периода хакеры делают несколько DNS-запросов, чтобы заработать репутацию. Затем, когда все готово, они передают эти домены «пуленепробиваемому» хостеру, услуги которого оплачиваются в биткоинах, и он предоставляет хакерам VPS c выделенным IP-адресом.
При этом исследователи подчеркивают, что Prolific Puma, не рекламирует свои услуги по сокращению URL на хакерских форума.
Методы доставки вредоносных ссылок различаются, они могут распространяться как через социальные сети, так и посредством рекламы, но основным каналом распространения исследователи считают текстовые сообщения.
О происхождении и атрибуции Prolific Puma пока ничего неизвестно. Однако, по имеющимся у исследователей данным, многие злоумышленники используют услуги группировки для переадресации своих жертв на фишинговые и мошеннические сайты, и даже перенаправления на другие укороченные ссылки, созданные другими похожими сервисами.
Например, в одной фишинговой атаке, задокументированной Infoblox, жертвы, перешедшие по сокращенной ссылке, попадали на целевую страницу, где им предлагалось оставить личные данные, произвести оплату и, в конечном итоге, заразить свою систему вредоносным плагином для браузера.
Только за последние полтора года хакеры зарегистрировали до 75 000 уникальных доменных имен, в основном злоупотребляя API регистратора NameSilo.
Аналитики компании , специализирующейся на DNS-угрозах, сообщают, что Prolific Puma создает доменные имена, используя RDGA (Registered Domain Generation Algorithm) и использует эти домены для предоставления услуг по сокращению ссылок другим злоумышленникам, «тем самым помогая им избежать обнаружения при распространении фишинговых, мошеннических и вредоносных программ».
Как известно, хакеры часто используют укорачиватели ссылок для фишинговых атак, поэтому Prolific Puma играет важную роль в хакерской цепочке поставок. Исследователи подсчитали, что только за период апреля 2022 года по настоящее время злоумышленники зарегистрировали от 35 000 до 75 000 уникальных доменных имен (до 800 доменов в день).
Эксперты пишут, что примечательной особенностью деятельности этой группы является злоупотребление услугами американского регистратора доменов и хостера NameSilo, который отлично подходит для целей Prolific Puma благодаря наличию API, облегчающего массовую регистрацию. Эксперты отмечают, что этот регистратор в целом часто подвергается злоупотреблениям со стороны киберпреступников.
Хотя многочисленные домены группировки распределены по 13 разным доменным зонам, известно, что с мая 2023 года группа зарегистрировала тысячи американских доменов верхнего уровня (usTLD), неоднократно используя для этого адрес электронной почты, содержащий отсылку к песне «OCT 33» группы Black Pumas: blackpumaoct33@ukr[.]net.
Группировка прибегает к умышленному состариванию зарегистрированных доменов, паркуя их на несколько недель перед использованием. Обычно в течение этого периода хакеры делают несколько DNS-запросов, чтобы заработать репутацию. Затем, когда все готово, они передают эти домены «пуленепробиваемому» хостеру, услуги которого оплачиваются в биткоинах, и он предоставляет хакерам VPS c выделенным IP-адресом.
При этом исследователи подчеркивают, что Prolific Puma, не рекламирует свои услуги по сокращению URL на хакерских форума.
Методы доставки вредоносных ссылок различаются, они могут распространяться как через социальные сети, так и посредством рекламы, но основным каналом распространения исследователи считают текстовые сообщения.
О происхождении и атрибуции Prolific Puma пока ничего неизвестно. Однако, по имеющимся у исследователей данным, многие злоумышленники используют услуги группировки для переадресации своих жертв на фишинговые и мошеннические сайты, и даже перенаправления на другие укороченные ссылки, созданные другими похожими сервисами.
Например, в одной фишинговой атаке, задокументированной Infoblox, жертвы, перешедшие по сокращенной ссылке, попадали на целевую страницу, где им предлагалось оставить личные данные, произвести оплату и, в конечном итоге, заразить свою систему вредоносным плагином для браузера.
