[REDACTED] TDS dévoilé : répartition du trafic

Qu'est-ce que le [REDACTED] TDS ?

[REDACTED] TDS est un système commercial de répartition du trafic commercialisé par Apliteni OU, une société constituée à Estonie. À première vue, il se présente comme un outil de gestion du trafic destiné aux spécialistes du marketing d'affiliation. En réalité, il s'agit du moteur de cloaking le plus largement utilisé dans l'écosystème mondial de la fraude.

Le « cloaking » est l'art de présenter un contenu différent selon les visiteurs. Lorsqu'un chercheur en sécurité, un modérateur publicitaire ou un agent des forces de l'ordre se rend sur une URL, [REDACTED] l'identifie et lui affiche une page « propre » et inoffensive. Lorsqu’une véritable victime se rend sur cette même URL, elle est redirigée vers des escroqueries liées à la cryptomonnaie, des pages de hameçonnage, des téléchargements de logiciels malveillants ou des sites de commerce électronique frauduleux. La victime ne voit jamais la version « propre ». L’analyste ne voit jamais l’escroquerie.

Les tarifs de [REDACTED] vont de De 40 à 400 euros par mois, ce qui en fait une infrastructure de lutte contre la fraude destinée aux entreprises. Elle stocke les données des visiteurs pendant une durée pouvant aller jusqu’à 9,75 ans, offrant ainsi aux opérateurs un immense ensemble de données comprenant les empreintes digitales des victimes, des données géographiques et des profils comportementaux. Toutes ces données sont stockées sur Infrastructure AWS, ce qui signifie qu'Amazon héberge, à son insu, l'infrastructure technique de milliers d'opérations frauduleuses.

Les chiffres : 1 565 panneaux, aucun valable

L'enquête de THE ENABLERS REGISTRY est partie d'une hypothèse simple : si [REDACTED] TDS avait des utilisations légitimes, nous devrions en trouver à grande échelle. Nous avons analysé Plus de 50 000 sites en combinant des outils automatisés et une vérification manuelle, en recherchant spécifiquement les traces caractéristiques de [REDACTED] TDS. Ce que nous avons découvert ne laissait place à aucun doute.

1 565 panneaux d'administration [REDACTED] actifs ont été découverts. Nous les avons tous analysés un par un. Résultat : aucun déploiement valide. Aucun panel n'était utilisé à des fins légales de marketing d'affiliation, de tests A/B ou à toute autre fin inoffensive. Tous les panels — à 100 % — étaient liés à des activités criminelles.

Répartition par catégorie d'abus

Les 1 565 panels ont été répartis entre six grandes catégories d'abus. De nombreux panels couvraient plusieurs catégories à la fois, en utilisant le système de routage du trafic de [REDACTED] pour diriger les victimes vers différents types d'escroqueries en fonction de leur situation géographique, de leur appareil ou de l'heure de la journée.

Liste des prévenus

[REDACTED] TDS n'est pas seulement utilisé par des escrocs de bas étage. Il s'agit de l'infrastructure de dissimulation privilégiée par certaines des organisations cybercriminelles les plus dangereuses de la planète. Voici la liste des clients recensés :

Méthodologie de détection en 7 points

Au cours de cette enquête, THE ENABLERS REGISTRY a mis au point sept méthodes indépendantes permettant d'identifier les déploiements du TDS [REDACTED]. Chaque méthode cible une empreinte distincte laissée par [REDACTED], et, ensemble, elles forment un cadre de détection complet désormais disponible sous forme d'outils open source.

1. /click_api/v3 Point d'extrémité

Point de terminaison de l'API principale de [REDACTED] pour le traitement des événements de clic. Ce chemin d'accès est codé en dur dans le logiciel et présent dans chaque installation. La vérification de l'existence de ce point de terminaison constitue le moyen le plus rapide de confirmer un déploiement de [REDACTED]. Une réponse 200 ou 302 sur ce chemin d'accès constitue une confirmation quasi certaine de la présence de [REDACTED].

2. _lp / _token / _subid Paramètres d'URL

[REDACTED] ajoute des paramètres de suivi spécifiques aux URL au cours des chaînes de redirection. Le _lp Ce paramètre identifie la page de destination, _token prend en charge l'authentification par session, et _subid suit les sources des sous-affiliés. Ces paramètres sont propres à [REDACTED] et apparaissent rarement dans les systèmes de gestion du trafic légitimes.

3. Cookies spécifiques à [REDACTED]

[REDACTED] installe des cookies spécifiques pour suivre les sessions des visiteurs et maintenir l'état de masquage. Ces cookies respectent des conventions de nommage différentes de celles des plateformes d'analyse standard, ce qui permet de les identifier via l'inspection du navigateur ou une analyse automatisée des cookies.

4. Modèles d'en-têtes de réponse

Les réponses du serveur de [REDACTED] contiennent des modèles d'en-têtes HTTP caractéristiques, notamment des directives « cache-control » spécifiques, des en-têtes personnalisés et des chaînes d'identification du serveur qui diffèrent de celles des serveurs web standard. Ces en-têtes persistent même lorsque les opérateurs tentent de personnaliser leurs installations.

5. Chaînes de redirection JavaScript

[REDACTED] met en œuvre des redirections JavaScript en plusieurs étapes afin d'évaluer les empreintes numériques des visiteurs avant de décider s'il faut afficher la page frauduleuse ou la page légitime. Ces chaînes de redirection suivent des schémas prévisibles — noms de variables spécifiques, séquences temporelles et logique d'évaluation — qui peuvent être détectés grâce à une analyse statique et dynamique du code JavaScript.

6. Analyse des modèles de domaine

Les opérateurs de [REDACTED] ont tendance à enregistrer des noms de domaine en suivant des conventions de nommage et des schémas d'enregistrement prévisibles. L'analyse en masse de ces noms de domaine révèle des groupes de domaines présentant des données WHOIS, des dates d'enregistrement, des configurations de serveurs de noms et des hébergeurs similaires — autant d'éléments qui indiquent des déploiements coordonnés de [REDACTED].

7. Identification par empreinte digitale dans le panneau d'administration

Les panneaux d'administration de [REDACTED] sont accessibles via des chemins d'accès connus et renvoient des structures HTML, des noms de classes CSS et des fichiers JavaScript caractéristiques. Même lorsque les administrateurs modifient l'URL de connexion par défaut, le framework front-end du panneau laisse des traces identifiables qui peuvent être détectées par énumération des chemins d'accès et analyse d'empreintes de contenu.

Carte mondiale des infrastructures

Les 1 565 panneaux [REDACTED] sont répartis sur une infrastructure d'hébergement mondiale qui privilégie les fournisseurs de VPS bon marché et les juridictions où les délais de réponse en cas d'abus sont longs. Voici où se trouvent ces panneaux :

Lancement d'outils open source

Parallèlement à cette enquête, THE ENABLERS REGISTRY publie une suite complète d'outils de détection open source. Tous ces outils sont gratuits, ne nécessitent aucune clé API et peuvent être déployés immédiatement. L'ensemble complet des données, comprenant 1 565 panneaux, est inclus.