Ponencia impartida por Iván Portillo y Wiktor Nykiel en el congreso HC0N con el título "BLACK FRAUDEY: DESTAPANDO REDES DE COMERCIOS ONLINE EN MODALIDAD CTRL-C, CTRL-V". Durante esta ponencia se explica cómo se destapan redes de comercios online fraudulentas permitiendo notificar a las autoridades competentes para que se ejecuten las acciones oportunas. Además, se explica como analizar cada página y automatizar este proceso sacando una escala de criticidad de la amenaza según los indicadores que cumpla la misma.

1. Black Frauday
destapando redes de comercios online en
modalidad CTRL-C, CTRL-V
# CIBERINTELIGENCIA
# H-C0N2020

2. .com
https://ginseg.com
@ginsegWho am I
wiktornykiel
Ingeniero de Ciberseguridad
Entidad Financiera
Co-fundador de comunidad Ginseg
Wiktor Nykiel
WiktorNykiel
ivanportillomorales ivanPorMor
Ciberinteligencia & Seguridad
Analista Senior – BIG4 / Co-fundador de comunidad Ginseg
Iván Portillo

3. .com
https://ginseg.com
@ginsegComunidad de Ciberinteligencia Ginseg
Presencia enPilares
• Colaboración en comunidad.
• Formación e investigación.
• Operaciones e investigaciones OSINT.
Temática
OSINTHUMINT SOCMINTMalware Amenazas
2 fundadores
14 colaboradores
+1000 seguidores
• Ciberinteligencia.
• Inteligencia.
• Análisis.
EspañaLATAM
ginseg.com

4. Febrero 2020 / H-C0N 2020
Introducción y contexto

5. .com
https://ginseg.com
@ginsegOSINT bajo el paraguas de la ciberinteligencia
INTELIGENCIA
HUMINT
Ciberinteligencia
Deep Web SIGINTOSINT SOCMINT
Otras disciplinas no Cyber
Inteligencia de fuentes abiertas
(Open Source INTelligence)

6. .com
https://ginseg.com
@ginsegDonde buscamos información / Fuentes

7. .com
https://ginseg.com
@ginseg
RIPE
TLD
Es el registro regional de internet encargado de supervisar y registrar los
recursos de internet (Direcciones IP y AS) en las zonas de Europa, Oriente
Medio y Asia Central.
Dominio de nivel superior: com, net, cn, info, es, jp, gov, edu, mil, uk, de ...
Registro A
Vinculan un nombre de host (dominio) a una dirección IP. Ej: ftp.dominio.com. A
156.25.89.36
Registro NS
Son los servidores DNS Autorizados para un dominio/subdominio y quien
informará de cualquier petición solicitada al dominio. Ej: dominio.com. NS
ns1.dominio.com.
Registro MX Indica el servidor de correo responsable de distribuir y gestionar los correos
relacionados con el dominio. Ej: dominio.com. MX 10 mx01.dominio.com.
Registro
CNAME
Especifica las redirecciones desde los subdominios de un dominio hacia otros
dominios/subdominios. Ej: ftp.dominio.com. CNAME dominio.com.
Definiciones

8. .com
https://ginseg.com
@ginseg
Reverse DNS
o rDNS
Utiliza registro DNS PTR. Resuelve dirección IP hacia un nombre de host (dominio).
Similar a Registro A pero a la inversa. Ej: 44.33.22.11.in-addr.arpa PTR dominio.com.
IoC Indicador de Compromiso. Ej: Hash, Dirección IP, Dominio, etc.
TTP
Tácticas, Técnicas y Procedimientos.
TLP
Traffic Light Protocol. Esquema creado por US-CERT para compartir información
en función de lo confidencial o sensible que sea esta. Existen 4 estados desde mas
limitado a menos. RED, AMBER, GREEN y WHITE.
ASN Distribución de Números de Sistema Autónomo (AS). Un AS es un grupo de
rangos de direcciones IPs gestionados por uno o mas operadores de red. El
numero especifico de cada AS se denomina ASN.
Definiciones

9. Febrero 2020 / H-C0N 2020
No caigas ante el Black FraudEY

10. .com
https://ginseg.com
@ginsegSuplantación de la marca
1

11. .com
https://ginseg.com
@ginsegSuplantación de la marca
2

12. .com
https://ginseg.com
@ginsegSuplantación de la marca
3

13. .com
https://ginseg.com
@ginsegSuplantación de la marca
21
3
X
X
a

14. Usando OSINT para destapar la red
Febrero 2020 / H-C0N 2020

15. .com
https://ginseg.com
@ginsegSuplantación de la marca / Términos legales
[ A simple vista]
• URLs y Certificado (sin https)
• Idioma y traducciones
• Precio excesivamente bajo
• Pago (sin https)
• Envio (desde China?)
[ OSINT ]
• Whois
• NS Look up (A, MX, …)
• Ubicación geográfica
• Otras fuentes
•Tirando del hilo

16. .com
https://ginseg.com
@ginsegSuplantación de la marca
[ A simple vista]
• URLs y Certificado (sin https)
• Idioma y traducciones
• Precio excesivamente bajo
• Pago (sin https)
• Envio (desde China?)
[ OSINT ]
• Whois
• NS Look up (A, MX, …)
• Ubicación geográfica
• Otras fuentes
•Tirando del hilo

17. .com
https://ginseg.com
@ginsegSuplantación de la marca
[ A simple vista]
• URLs y Certificado (sin https)
• Idioma y traducciones
• Precio excesivamente bajo
• Pago (sin https)
• Envio (desde China?)
[ OSINT ]
• Whois
• NS Look up (A, MX, …)
• Ubicación geográfica
• Otras fuentes
•Tirando del hilo

18. .com
https://ginseg.com
@ginsegSuplantación de la marca
1

19. .com
https://ginseg.com
@ginsegOSINT / Certificados

20. .com
https://ginseg.com
@ginsegOSINT / Certificados

21. .com
https://ginseg.com
@ginsegSuplantación de la marca / Whois

22. .com
https://ginseg.com
@ginsegComercios online en calle falsa 123 / Reverse IP
https://api.hackertarget.com/reverseiplookup/?q=190.2.135.81

23. .com
https://ginseg.com
@ginsegComercios online en calle falsa 123 / Webmin

24. .com
https://ginseg.com
@ginsegComercios online en calle falsa 123 / Robtex
https://gfx.robtex.com/gfx/graph.png?dns=futbolreplicas2019.es

25. .com
https://ginseg.com
@ginsegComercios online en calle falsa 123 / Whois

26. .com
https://ginseg.com
@ginsegComercios online en calle falsa 123 / Robtex

27. .com
https://ginseg.com
@ginsegComercios online en calle falsa 123 / Robtex

28. .com
https://ginseg.com
@ginsegSuplantación de la marca / Donde estamos
[ A simple vista]
• URLs y Certificado (sin https)
• Idioma y traducciones
• Precio excesivamente bajo
• Pago (sin https)
• Envio (desde China?)
[ OSINT ]
• Whois
• NS Look up (A, MX, …)
• Ubicación geográfica
• Otras fuentes
•Tirando del hilo

29. .com
https://ginseg.com
@ginsegOSINT / Revers IP Lookup
[ A simple vista]
• URLs y Certificado (sin https)
• Idioma y traducciones
• Precio excesivamente bajo
• Pago (sin https)
• Envio (desde China?)
[ OSINT ]
• Whois
• NS Look up (A, MX, …)
• Ubicación geográfica
• Otras fuentes
•Tirando del hilo

30. .com
https://ginseg.com
@ginsegDorks para localizar más páginas

31. .com
https://ginseg.com
@ginsegVan apareciendo cual setas

32. .com
https://ginseg.com
@ginsegVan apareciendo cual setas

33. .com
https://ginseg.com
@ginsegVan apareciendo cual setas

34. .com
https://ginseg.com
@ginsegVan apareciendo cual setas

35. .com
https://ginseg.com
@ginsegVan apareciendo cual setas

36. Automatizando a gran escala
Febrero 2020 / H-C0N 2020

37. .com
https://ginseg.com
@ginsegRevers IP para localizar..
[ A simple vista]
• URLs y Certificado (sin https)
• Idioma y traducciones
• Precio excesivamente bajo
• Pago (sin https)
• Envio (desde China?)
[ OSINT ]
• Whois
• NS Look up (A, MX, …)
• Ubicación geográfica
• Otras fuentes
•Tirando del hilo

38. .com
https://ginseg.com
@ginsegRed de comercios online fraudulentos
2019charmpandora.com
abaloriospandora2019.es
achatpandorabijoux.fr
anellipandoraprezzi2019.com
anillosdepandora.es
bagueargentpandora.com
bagueargentpandora.fr
baguecoeurpandora.com
baguecoeurpandora.fr
baguefemmepandora.com
baguepandoracoeur.com
baguepandoracoeur.fr
baguepandoranoeud.com
baguepandoranoeud.fr
baguepandoraor.com
baguepandoraor.fr
baguepandorapascher.com
baguepandorapascher.fr
baguepandoraprix.com
baguepandoraprix.fr
baguepandorasoldes.com
baguepandorasoldes.fr
baguespandora.fr
barataspandora.es
bijouxpandorabagues.com
bijouxpandorabagues.fr
bijouxpandorafrance.fr
braccialepandora2019.com
braccialepandora2019.it
braccialepandoragifts.it
braccialepandoraitalia.it
braceletpandorableu.com
braceletpandorableu.fr
braceletpandoraor.fr
braceletpandorarouge.com
braceletpandorarouge.fr
braceletsalepandora.com
braceletsalepandora2019.com
buypandorajewelry.com
buypandorajewelry2020.com
catalogopandora2019.es
charmcoeurpandora.fr
charmepandora.fr
charmpandora2019.es
charmpandoracoeur.fr
charmpandorafrance.fr
charmpandoragifts.com
charmpandoragifts.it
charmpandorait.com
charmpandorait.it
charmpandoraitalia.it
charmsforpandorabracelet.com
charmspandora2019.com
charmspandorabaratas.es
cheappandorabracelets.com
cheappandorarings.com
clippandorapascher.fr
colgantespandora.es
collanepandora.com
collierpandoracoeur.com
collierpandorapascher.com
collierpandoraprix.fr
complementospulserapandora.c
om
comprarpandoraonline.com
comprarpulserapandora.com
custompandorajewelry.com
designerpandorajewellery.com
destockagepandora.fr
dijespandora.es
discountpandorabracelets.com
discountpandorajewelryshop.co
m
discountpandorarings.com
disneypandora2019.com
encantopandora.es
encantopandorabaratas.es
espanapandora.es
fashionpandorajewelry.com
finepandorajewelry.com
francepandora.fr
francepandorapascher.fr
frbijouxpandora.fr
frbijouxpandorapascher.fr
frbraceletpandora.fr
frbraceletspandora.fr
frcharmpandora.fr
frpandora.fr
frpandorapascher.fr
giftpandorajewelry.com
gioiellipandoragifts.it
gioiellipandoraitalia.it
gioiellipandoraofferte.it
gioiellipandoraprezzo.it
gioiellipandorasaldi.it
heartsofpandora.com
heartsofpandora2020.com
heartsofpandoraring.com
imitacionpandora.com
imitacionpandoraplata.com
itbraccialepandora.it
itgioiellipandora.com
itgioiellipandora.it
itpandorabracciali.it
itpandoracharm.com
itpandoracharm.it
leatherpandorabracelet.com
magasinpandora.fr
magasinspandora.com
magasinspandora.fr
negozipandora.com
newpandoracharms.com
newpandoracharms2020.com
newpandorarings.com
newpandorarings2019.com
ofertapandora.es
offerspandorajewelry.com
offertepandora2019.com
offertepandora2020.com
offertepandoragioielli.it
outletpandorajewelry.com
pandoraanillos.es
pandoraanillos2019.es
pandoraarmband.se
pandorabaguecoeur.com
pandorabaguecoeur.fr
pandorabaguenoeud.com
pandorabaguenoeud.fr
pandorabaratas.es
pandoraberlock.se
pandoraberlockarmband.se
pandorabijoux.fr
pandorabijouxargent.fr
pandorabijouxfemme.fr
pandorabijouxpromo.fr
pandorabilliga.se
pandorabilligasmycken.se
pandorabracciale.com
pandorabracciale.it
pandorabracciale2019.it
pandorabraccialegifts.it
pandorabraccialiitalia.it
pandorabracelet2019.com
pandorabraceletcharmssale.com
pandorabraceletfrance.fr
pandorabraceletonline2019.com
pandorabraceletsuk.com
pandorabraceletwithcharms.co
m
pandoracharm.it
pandoracharm2019.com
pandoracharmbracelet.com
pandoracharmgifts.it
pandoracharmitalia.it
pandoracharmnecklace.com
pandoracharms.es
pandoracharms2019.com
pandoracharms2019.es
pandoracharms2020.com
pandoracharmsbaratas.es
pandoracharmscheap.com
pandoracharmscheap2019.com
pandoracharmsrose.fr
pandoracheap2019.com
pandoracheap2020.com
pandoracheapcharm.com
pandoracheapcharm2019.com
pandorachristmascharms.com
pandoracollier.fr
pandoracuir.fr
pandoradiamondjewellery.com
pandoradisneycollections.com
pandoraencanto.es
pandoraencantobaratas.es
pandoraespanatiendas.es
pandoraewelrycheap.com
pandoragioielligifts.it
pandoragioielliprezzo.it
pandoragioiellisaldi.it
pandoragoldbracelet.com
pandoragoldbraceletsale.com
pandoragoldcharms.com
pandoragoldjewellery.com
pandorahalsband.se
pandoraheartcharm.com
pandorait.it
pandorait2019.it
pandorait2020.it
pandoraitalia2019.it
pandoraitalia2020.it
pandoraitalianegozi.it
pandorajewelrydiscount.com
pandorajewelryhandmade.com
pandorajewelrynet.com
pandorajewelryoffers.com
pandorajewelryretailers.com
pandorajoyasbaratas.es
pandorajoyasenplata.es
pandorajoyeria2019.es
pandoraligne.fr
pandoramagasin.fr
pandoranecklacecharms.com
pandoranecklacesale.com
pandoranegozi.it
pandoranegozi2019.it
pandoranegozi2020.it
pandoranet2019.it
pandoraofertas2019.es
pandoraoffersjewelry.com
pandoraofferte2019.it
pandoraofferte2020.com
pandoraoficial.com
pandoraonline2019.es
pandoraonline2019.it
pandoraonlineespana.com
pandoraoriginal.com
pandoraoutlet.es
pandorapascher.fr
pandorapulsera.es
pandorarea.se
pandorarebajas2019.es
pandoraringsjewelry.com
pandoraringsonsale.com
pandoraringssale.com
pandoraringssale2019.com
pandorasale2019.com
pandorasale2020.com
pandorasalebracelet.com
pandorasaleearrings.com
pandorashop2019.es
pandorashopjewelry.com
pandorashoponline2019.com
pandorasilver.com
pandorasilverbracelet.com
pandorasilvercharms.com
pandorasilverjewelrycheap.com
pandorasilverrings.com
pandorasilversmycken.se
pandorasmyckenbilligt.se
pandorasmyckenbilligtrea.se
pandorasmyckenonline.se
pandorasoldes2018.fr
pandorastore2019.com
pandorastorejewelry.com
pandoraswedishcharms.se
pandoratienda.es
pandoratienda2019.com
pandoratiendaonline.com
pandoraukcharms2018.com
pandoravalentinecharms.com
pendentifpandora.fr
pendientespandora.es
perlepandorarose.fr
prixbaguepandora.com
prixbaguepandora.fr
prixpandora.fr
pulseradepandora2019.es
pulserapandora2019.es
pulserapandoraplata.com
pulserapandoraprecio.es
pulserapandorarosa.com
pulseraspandorabaratas2019.es
reapandorasverige.se
rivenditoripandora.com
salepandora2018.com
salepandora2019.com
salepandorabangle.com
salepandorabangle2019.com
salepandoracharm.com
salepandoracharm2019.com
salepandoraearrings.com
silverpandorabracelet.com
silverpandoracharms.com
sortijaspandora.com
tiendadepandora.com
tiendadepandora.es
tiendapandora.es
tiendapandora2019.es
ukpandorabangle.com
ukpandorabangle2019.com
ukpandorabracelet.com
ukpandoracharms.com
ukpandoracharms2019.com
ukpandorajewellery.com
ukpandorarings.com
ukpandorarings2019.com
ventepandorabijoux.fr
+284 pandora
+1000 otros
*pandora*

39. .com
https://ginseg.com
@ginseg
Proyecto Censys: Repositorio de datos públicos
creado por Censys, que recopila información
sobre hosts IPv4, sitios web dentro de Alexa Top
Million y certificados X.509 que se encuentren
activos en Internet, mediante escaneos activos
con ZMAP.
Proyecto Sonar: Repositorio de datos públicos creado
por Rapid7, que realiza escaneos a diferentes servicios
y protocolos en Internet para obtener información
sobre exposición global a vulnerabilidades comunes.
Censys.io y Scans.io

40. .com
https://ginseg.com
@ginsegRabbitMQ

41. .com
https://ginseg.com
@ginsegRabbitMQ

42. .com
https://ginseg.com
@ginseg
• Alta Disponibilidad.
• Garantía de entrega.
• Escalabilidad.
• Distribución de mensajes a múltiples
destinatarios.
• Ordena y prioriza tareas.
• Balanceo de carga de trabajo..
• Gestor de colas de mensajes para comunicar
la información entre diferentes sistemas,
aplicaciones, etc.
• Software Libre y compatible con diferentes
protocolos de mensajería.
RabbitMQ

43. .com
https://ginseg.com
@ginsegRabbitMQ

44. .com
https://ginseg.com
@ginseg
• Soporta transacciones ACID (Atomicidad,
Consistencia, Aislamiento, Durabilidad)
• Agilidad para gestionar grandes cantidades de
datos.
• Flexibilidad y escalabilidad.
• Alta disponibilidad y Balanceo de carga.
• Es una base de datos orientada a grafos, que permite obtener relaciones entre diferentes nodos.
• Dispone de Versión Community y versión de Pago.
Grafos con Neo4j

45. .com
https://ginseg.com
@ginsegAnálisis de datos con PowerBi

46. .com
https://ginseg.com
@ginsegAnálisis de datos con PowerBi

47. .com
https://ginseg.com
@ginsegAnálisis de datos con PowerBi

48. .com
https://ginseg.com
@ginsegAnálisis de datos con PowerBi

49. Conclusiones
Febrero 2020 / H-C0N 2020

50. .com
https://ginseg.com
@ginseg¿Que hemos hilado?

51. .com
https://ginseg.com
@ginsegAprender a identificar este tipo de fraudes
https://www.osi.es/sites/default/files/docs/guia_fraudes/guia-fraudes-online.pdf

52. .com
https://ginseg.com
@ginsegAprender a identificar este tipo de fraudes

53. .com
https://ginseg.com
@ginseg
https://www.osi.es/es/reporte-de-fraude
Si encuentras fraude.. ¡repórtalo!

54. .com
https://ginseg.com
@ginseg
# CIBERINTELIGENCIA
ginseg
@gIntelSeg
@ginseg |
@ThreatIntelligence
https://ginseg.com# COMUNIDAD