В июне 2016 года специалисты «Лаборатории Касперского» рассказали о подпольной торговой площадке xDedic, на которой злоумышленники продают доступ к взломанным серверам со всего мира. Тогда ресурс, работавший в обычном интернете, а не в зоне .onion, быстро исчез с радаров и прекратил свою деятельность. Теперь исследователи компании Digital Shadows сообщают, что xDedic вернулся в строй, но перебрался в даркнет.
Напомню, что изначально «Лаборатория Касперского» представила отчет, в котором сообщалось, что xDedic не новое явление — до момента обнаружения он проработал порядка двух лет, и для изучения необычного магазина специалисты договорились о сотрудничестве с неназванным европейским интернет-провайдером. Выяснилось, что в мае 2016 года на торговой площадке насчитывалось 70 624 сервера, выставленных на продажу, от 416 разных продавцов из 173 стран мира.
Затем некий аноним поделился с «Лабораторией Касперского» более подробными данными, предоставив исследователям ссылки на Pastebin, по которым размещались объемные списки IP-адресов и дат; каждый из дампов содержал примерно 19 000 записей. Эта информация оказалась напрямую связана с деятельность xDedic. Исследователи провели тщательный анализ дампов, суммарно содержащих 176 000 записей. В итоге информацию признали подлинной, – самые ранние даты в приведенных файлах соответствовали периоду начала работы xDedic, то есть осени 2014 года. Тогда эксперты скорректировали свою статистику, сообразно полученной информации.
Напомню, что «Лаборатория Касперского» отдельно подчеркивала, что все собранные данные уже были переданы в руки правоохранительных органов, а эксперты продолжают принимать участие в текущем расследовании.
Судя по всему, пока операторов торговой площадки не поймали. Специалисты компании Digital Shadows сообщают, что пользователь под псевдонимом xDedic опубликовал ссылку на новый адрес ресурса на форуме exploit.in еще 24 июня 2016 года. Пользователь пишет, что «xDedic спалили», а эксперты отмечают, что репутация на форуме у данного индивида хорошая, в его причастности к деятельности xDedic там не сомневаются.
Новый xDedic расположен в даркнете и полностью копирует дизайн старого сайта. Операторы торговой площадки не стали переносить на новое место аккаунты пользователей с исходного сайта, и регистрация пока открыта. Впрочем, для активации аккаунта все равно понадобится заплатить $50.
Эксперты пишут, что пока пользователей на сайте мало, но прогнозируют, что это вскоре изменится, особенно если принять во внимание тот факт, что первая версия xDedic привлекала до 30 000 пользователей ежемесячно.
Специалисты «Лаборатории Касперского» подтвердили, что они знают о происходящем:
«Мы осведомлены о сообщениях, что xDedic вернулся, и следим за развитием ситуации. Согласно нашим правилам, мы делимся результатами исследований о киберкриминале с правоохранительными органами, и в случае xDedic это уже было сделано».
