Хостера видишь? Нет! А он есть!

Хостера видишь? Нет! А он есть!

@In4security

Иногда публикуемая на нашем канале информация ложится в основу материалов для проведения проверки со стороны правоохранительных органов. Это неудивительно, ведь за годы его существования мы писали о разномастных мошенниках, педофилах, горе-хакерах и прочем сброде. Надеемся, что эта статья также послужит толчком к организации проверки деятельности компании, у которой, как говорится, "рыльце в пушку".

Ведь сегодня у нас на повестке дня совершенно иная категория проходимцев - целый хостинг, функционирующий во имя процветания криминала. Не верите? Тогда давайте разберемся вместе.

Все началось с одного на редкость абузоустойчивого фишингового сайта. Сайт уже убит, так что не будем тревожить его покой, но поверьте, мороки с ним было более чем достаточно. Как правило, хостеры реагирует на претензии куда быстрее регистраторов, ведь правовые основания их деятельности сильно отличаются. Большая же часть даже самых абузоустойчивых хостеров хорошо известна и не будет марать руки, связываясь с откровенным криминалом, сосредоточившись на публикации всевозможных утечек и прочих материалов из категории "ученые/правительства скрывают".

Потревоживший наш покой фишинговый сайт располагался на IP-адресе 94.154.129.50, который входит в диапазон IP-адресов, принадлежащих некой компании Landgard Services. Самая главная особенность этой компании заключается в том, что ее не существует. Указанный в whois адрес: Suite 1, Second Floor, Sound & Vision House, Francis Rachel Str., Victoria, Mahe, Seychelles является адресом массовой регистрации юридических лиц, только вот в реестре сейшельских компаний сведения о Landgard Services отсутствуют.

Контактные данные тоже не приносят полезной информации: указанный телефон принадлежит американской компании, не имеющей никакого отношения к хостингу, а адреса электронной почты: abuse@landgard.services (привязан к ящику на protonmail) и landgard_services@protonmail.com мы можем посоветовать тем, кому хочется излить кому-нибудь душу, но при этом не хочется получать в ответ назойливых советов и рекомендаций.

Впрочем, у хостера имеется сайт https://landgard.services, на котором отсутствуют реквизиты компании, однако имеется одна услуга - аренда VPS.

Таким образом мы имеем хостинговую компанию, которой нет. Адрес - фейк, телефон - фейк, почта молчит, а сайт больше похож на потёмкинскую деревню, чем на сайт реального хостера.

Ну и что? Мало ли в сети абузоустойчивых хостингов? - скажут наши читатели. Да, абузоустойчивых хостингов много, только вот цель их существования - обеспечить стабильность работы сайта и защитить его от различных незаконных посягательств (мотивы которых могут быть самыми разнообразными). Только вот Landgard Services - дело другое. Давайте посмотрим, какие сайты используют данный хостинг на примере засветившегося у нас IP-адреса: 94.154.129.50

Ой, как интересно! Ни одного легитимного сайта, зато десятки фишинговых доменов, заточенных под мошенничества на Авито и прочие форки данной схемы. На самом деле таких доменов там сотни. Вы можете убедиться в этом сами, вот вам ссылка: https://www.virustotal.com/gui/ip-address/94.154.129.50/relations. В общем, хороший хостинг и сайты интересные.

Ну да ладно, мы уже поняли, что Landgard Services - это хостинг, откровенно заточенный под мошеннические сайты. Но неужели он и вправду находится на солнечных Сейшелах? (Правильный ответ - нет). Давайте разберемся, почему российские мошенники так полюбили эту несуществующую компанию.

На чем пролетают многие киберпреступники? На том, что интернет действительно все помнит. Ну если не все, то многое.

Доменное имя landgard.services было зарегистрировано 22 февраля 2021 года. Как видите, хостинг совсем свеженький. А вот диапазон IP-адресов, принадлежащий Landgard Services (95.154.129.0-19ю154.129.255), был выделен чуть раньше - 4 февраля 2021 года. В настоящее время в качестве арендатора диапазона фигурирует несуществующая Landgard Management Inc., однако так было не всегда.

Если посмотреть исторические данные Whois, то выяснится, что по состоянию на 5 февраля 2021 года данный диапазон принадлежал компании Well-Wall, адрес которой подозрительно совпадает с Landgard Services.

Это очень интересно, так как испивший немало нашей крови фишинговый домен имел NS-серверы well-wall.to. Совпадение? Не думаем.

Доменное имя well-wall.to имело поддомен antiddos.well-wall.to, в разное время располагавшийся на Ip-адресах 85.203.44.147 и 5.206.227.210: https://www.virustotal.com/gui/domain/antiddos.well-wall.to/details.

Эти же IP-адреса использовались для адресации поддомена testantiddos.well-wall.pro.

По адресу https://well-wall.pro располагается сайт хостинг-провайдера Well-Wall.

Указанный провайдер имеет аккаунт на форме сетевых мошенников Lolzteam: https://lolz.guru/wellwall. В профиле аккаунта указан контактный адрес в Telegram: @wellwall_support (ID 1489013631).

Но это только начало.

Второй диапазон IP-адресов, в настоящее время числящийся за хостинг-провайдеров Landgard Services: 87.251.64.0/24

Указанный диапазон выделен 12 апреля 2021. В данном случае компания называется LANDGARD-NEWYORK, а также EXPRESS-NEWYORK. Кроме того, в этой WHOIS-записи фигурирует ещё одно название: KRUTOJHOST2-MNT.

В историческом WHOIS этого диапазона от 2020 года можно увидеть, что раньше он был выделен компании «xWEBltd», в качестве административного контакта которой был указан адрес электронной почты: manager@well-web.net. Адрес компании: Moscow, pos. Sosenskoe, ul. Servantesa 1/3 kv. 125.

В качестве контактного лица указан Oleinichenko Denis, телефон: +7 925 584 32 84. И знаете, мы бы решили, что это подставное лицо, которое вообще не при чем, но тут все куда неоднозначнее...

Ой... Как неловко вышло... Вся конспирация коту под хвост...

But who is mr. Oleinichenko?

Анализ данных публичных сервисов для определения номера абонента говорит нам, что данный номер и вправду используется Денисом Олейниченко, уроженцем Оренбургской области, адрес которого мы не будем публиковать во имя 152 ФЗ.

А вот фото запостим

В TrueCaller и NumBuster Денис записан как "Олейниченко Денис Александрович. Велл-вест», «Удал работа хостинг», «Гость Олейниченко Денис БД 7. 1», «Manager», «Удал».

В публичных источниках имеется информация о том, что Д.А. Олейниченко в 2017 году размещал объявление о продаже готового бизнеса, связанного с хостингом.

Денис Олейниченко является владельцем 50% ООО "ВЕЛЛ-ВЕБ" (ИНН 7709972256). 

Владелец оставшихся 50% и генеральный директор - Курашова Кристина Андреевна (ИНН 770972939332), по всей видимости являющаяся женой Д.А. Олейниченко.

Дата регистрации ООО: 30.08.2016, адрес: ул. Малая Калитниковская, дом 20, корп. 2, кв. 62. 

Основной вид деятельности: Деятельность по созданию и использованию баз данных и информационных ресурсов, уставной капитал: 20 000 руб.

Ну и наконец сама компания.

ООО «ВЕЛЛ-ВЕБ»

На интернет сайте ооо «Велл-Веб» (https://well-web.net) в нижней части страницы в качестве сведений о правообладателе указано уже знакомое нам xWEB LTD.

В ходе мониторинга сети Интернет выявлены негативные отзывы о работе данной организации:

https://pozordracheva.wordpress.com/2019/03/19/well-webnet-hosting-provaider-well-web-moshenniki-juliki-vori-kidali/ 

Выводы делайте сами. Есть несуществующая компания-хостер, на серверах которой располагаются сотни фишинговых сайтов. Есть реально существующее ООО, которое вроде бы не имеет к этом отношения, однако фигурирует в качестве арендатора диапазона IP-адресов и рекламирует свои услуги на более чем сомнительном ресурсе. Отличная пища для размышлений и для проведения проверки, не так ли?


Всегда ваши,

@In4security



Report Page