כיצד למצוא את כתובת ה-abuse@ של ספק אחסון?

ברגע שהשרת הנכון זוהה, עדיין יש לדעת למי לכתוב כדי לכבות אותו. החדשות הטובות: הכתובת כמעט תמיד קיימת, מוכנה במיוחד לשם כך. החדשות הפחות טובות: לא תמיד קל למצוא אותה בניסיון אחד. להלן השיטה שלב אחר שלב.

מדוע כתובת ה-abuse@ קיימת

ב-1997, מסמך RFC 2142 קבע נוהג שעדיין נמצא בשימוש כיום על ידי כמעט כל ספקי האחסון ומפעילי הרשתות: כל ארגון המנהל מכונות המחוברות לאינטרנט חייב לפרסם תיבת abuse@ לקבלת דיווחים על ניצול לרעה (ספאם, פריצה, פישינג...), בין תיבות תקניות אחרות כמו postmaster@ או webmaster@. זה לא רק נוהג: זהו תקן, וזה מסביר מדוע הוא פועל בצורה נרחבת שכזו, מספקי אחסון קטנים ועד המפעילים הגלובליים הגדולים ביותר.

זיהוי המפעיל: מה-IP ועד ה-ASN

הכול מתחיל בכתובת IP: כתובת השרת המארח את דף הפישינג, או זו שנמצאת בשורת Received של דוא"ל (ראו כיצד למצוא אותה בכותרות). משם, השיטה עוקבת תמיד אחר אותו מסלול:

1. WHOIS או RDAP של ה-IP: פקודה פשוטה כמו whois 203.0.113.45, או אתר RDAP מקוון, מציגה איזה ארגון רשם את גוש הכתובות הזה. התגובה מכילה לעיתים קרובות מאוד ישירות שדה abuse-mailbox או OrgAbuseEmail: אם קיים, זו התשובה המהירה ביותר.
2. ASN אם ה-WHOIS של ה-IP אינו מספיק: כל גוש כתובות IP מקושר לASN (מספר מערכת אוטונומית), סוג של מספר זהות של מפעיל הרשת שמתפעל אותו. כלים כמו bgp.he.net מאפשרים למצוא את ה-ASN מה-IP, ולאחר מכן את הארגון המקושר אליו.
3. אימות איש הקשר: ברגע שהארגון זוהה, מחפשים "שם הארגון + abuse" או מעיינים בדף התמיכה שלו: רוב ספקי האחסון הגדולים מתעדים את נוהלי הדיווח שלהם.

אימות שאיש הקשר נכון

ניחוש כתובת ה-abuse@ רק משם הדומיין של אתר הפישינג הוא טעות נפוצה: סביר להניח ש-abuse@secure-login.example אינה קיימת, מכיוון שהדומיין הזה שייך לרמאי עצמו, לא לספק האחסון. הכתובת הנכונה של ה-abuse@ היא זו של הארגון שמחזיק בשרת (שנמצא באמצעות ה-IP, ולא באמצעות הדומיין של אתר המלכודת). אם מה שיש להשעות הוא הדומיין ולא השרת שיש לכבות, אז יש לחפש כתובת אחרת: זו של הרשם (ראו מי שולט במה בין הרשם, ספק האחסון ו-CDN).

כאשר כתובת ה-abuse@ אינה ברורה

WHOIS לא תמיד נותן תשובה ברורה. שלושה מצבים מופיעים לעיתים קרובות:

• ספקי ענן גדולים (AWS, OVH, Azure, Google Cloud...) מחליפים לעיתים קרובות כתובת דוא"ל בטופס אינטרנט ייעודי, לעיתים אף מחייבים אותו כדי לטפל בדיווח במהירות.
• רשמי דומיינים מפרסמים לעיתים קישור "דווח על ניצול לרעה" ישירות, דרך RDAP, במקום כתובת דוא"ל מסורתית.
• שתיקה, או סירוב: מפעילים מסוימים, במיוחד זרים, מגיבים לאט או לא מגיבים כלל. במקרה זה, צוות תגובה לחירום מחשבים לאומי או פלטפורמה רשמית של המדינה נשארים דרך: בצרפת, לדוגמה, PHAROS.

שמרו תיעוד של כל ניסיון: התאריך, הערוץ שבו נעשה שימוש (דוא"ל, טופס, כרטיס), ומספר האסמכתא אם קיים. זה בדיוק מה שמאפשר לפנות שוב ביעילות, או להסלים לרמה הבאה מבלי להתחיל מאפס.

הכנת הדיווח שלכם

ברגע שהכתובת הנכונה נמצאה, הדיווח עצמו נשאר פשוט כדי להקל על טיפולו על ידי הנמען:

• המרכיבים הקונקרטיים הרלוונטיים: כתובת IP לספק האחסון, שם דומיין לרשם;
• כתובת ה-URL המדויקת של דף הפישינג, או הכותרות המלאות אם הדיווח מגיע מדוא"ל;
• תאריך ושעה של הגילוי, עם ציון אזור זמן;
• קישור מנוטרל, בצורה של hxxps://secure-login[.]example, כדי להימנע מלחיצה בשוגג בעת הקריאה.

זה בדיוק מה שBaitback מבצע באופן אוטומטי: מדוא"ל או קישור, הכלי מוצא את השרת הרלוונטי, את מפעילו, ואת כתובת הדיווח המדויקת שלו, ולאחר מכן מכין הודעה מוכנה לשליחה.

למידע נוסף: הרשם, ספק האחסון, CDN: מי יכול באמת לפעול, או האנטומיה המלאה של דיווח יעיל.