Часто задаваемые вопросы — THE ENABLERS REGISTRY: аналитика антифишинговых угроз

Наша система ежедневно обрабатывает тысячи доменов, проходящих четыре этапа:

Этап 1: Превентивное обнаружение и сбор данных

Мы используем распределенную сеть Более 30 собственных парсеров для выявления вредоносных доменов на самой ранней стадии:

• Журналы «Прозрачности сертификатов» (CT) — мониторинг новых SSL-сертификатов в режиме реального времени для выявления фишинговых доменов в течение нескольких минут после их регистрации
• Мониторинг DNS — отслеживание регистрации новых доменов и подозрительных настроек
• Обнаружение вредоносной рекламы — постоянный мониторинг Google Ads, результатов поиска, оптимизированных с помощью SEO, а также популярных кампаний в социальных сетях Twitter/X, YouTube и [REDACTED]
• Типосквоттинг — использование dnstwist и собственных эвристических алгоритмов для выявления похожих доменов, нацеленных на известные бренды
• Информация от сообщества — получение данных в режиме реального времени через наш бот в [REDACTED], по электронной почте и через каналы наших партнеров
• Агрегация фишинговых новостей — интеграция с более чем 13 источниками из сообщества, включая OpenPhish, PhishTank, URLhaus

Этап 2: Анализ и оценка

• 95 двигателей AV через VirusTotal
• Дополнительные данные WHOIS/DNS (регистратор, серверы имен, геолокация по IP-адресу, страна)
• Анализ SSL-сертификата (эмитент, SAN, сроки действия)
• Создание снимков экрана и сопоставление визуального контента
• Идентификация фишинговых наборов
• Расчет оценки риска (0–100) на основе более 12 взвешенных сигналов

Этап 3: Отчетность поставщиков по всему миру

После подтверждения мы отправляем в Более 50 поставщиков одновременно:

Кроме того, направляются официальные уведомления о злоупотреблениях регистраторам доменов и хостинг-провайдерам с пакетами доказательств.

Этап 4: Прозрачность для общественности

• Фиксации в режиме реального времени в Репозиторий Destroylist
• Панель мониторинга в режиме реального времени по адресу enablers.report/live
• Автоматические уведомления о Twitter, [REDACTED], и Мастодон
• Условное повторное обнаружение: повторные оповещения, если угроза остается активной более 24 часов

Каждому домену присваивается оценка риска от 0 до 100 на основе взвешенных сигналов:

Уровни серьезности:

70–100 КРИТИЧЕСКОЕ40–69 ВЫСОКИЙ20–39 СРЕДНИЙ1–19 НИЗКИЙ

Кроме того, наши внутренние отчеты по доменам (на enablers.report/domain) используют отдельную усовершенствованную систему оценки, которая учитывает данные VirusTotal об обнаружении вредоносных программ, возраст домена по WHOIS, SSL-шаблоны, анализ контента, степень подражания бренду, а также исторические показатели злоупотреблений со стороны регистраторов — в общей сложности более 12 сигналов.

В основном только списки заблокированных список домены. Мы занимаемся комплексным анализом угроз:

• Превентивное обнаружение — мы перехватываем домены через несколько минут после их регистрации, до того как они попадают к жертвам
• Тщательное расследование — мы отслеживаем криптовалютные транзакции в блокчейне, составляем карту инфраструктуры, декомпилируем фишинговые наборы и устанавливаем связь между кампаниями и их операторами
• Доступ «на уровне корневой директории» — мы получили доступ к панелям «drainer», исходному коду фишингового набора и журналам чатов операторов, что дало нам беспрецедентное представление о тактиках, методах и процедурах (TTP) злоумышленников
• Активная ликвидация — мы не просто помечаем домены; мы направляем пакеты доказательств регистраторам, хостинг-провайдерам и более чем 50 производителям антивирусного ПО и отслеживаем каждый домен до тех пор, пока он не перестанет существовать
• Проверка контента — наши каналы с проверкой контента выходят за рамки DNS: мы отправляем реальные HTTP-запросы, чтобы убедиться, что фишинговая страница действительно работает, и выявляем попытки маскировки
• Ответственность регистратора — мы публично отслеживаем показатели злоупотреблений со стороны регистраторов и время их реагирования, тем самым обеспечивая подотчетность недобросовестных провайдеров

Проверка контента означает, что мы не просто проверяем, разрешается ли домен (DNS), но и фактически переходим на страницу, чтобы убедиться в наличии фишингового контента.

Это важно, потому что мошенники используют маскировку: они показывают автоматизированным сканерам поддельные или пустые страницы, в то время как реальным жертвам — настоящую фишинговую страницу. Домен, НЕ входящий в наш список доменов с проверенным контентом, не Это не значит, что он безопасен — возможно, он просто замаскирован.

Наши каналы с проверенным контентом:

• Основное содержание — подборка доменов с подтвержденным активным фишинговым контентом (обновляется каждые 12 часов)
• Контент сообщества — агрегированные ленты с проверенным контентом (обновляются каждые 24 часа)

Для максимальной защиты используйте наш Начальная школа — все классы или Общие вопросы сообщества каналы, в которые входят все домены независимо от статуса проверки контента.

Нет. Обнаружение происходит в автоматическом режиме — классификаторы выявляют подозрительные домены в течение нескольких минут — однако никакие уведомления не отправляются регистраторам или хостинг-провайдерам в автоматическом режиме. Каждый запрос на ликвидацию, который мы отправляем, представляет собой вывод, проверенный специалистами и подкрепленный доказательствами, основанный на сообщениях пострадавших и результатах нашего собственного расследования.

На самом деле регистратор получает от THE ENABLERS REGISTRY не какое-то общее автоматическое уведомление. Это конкретное электронное письмо, в котором указана конкретная причина, приведены подтверждающие факты, скриншоты и документация. В случае повторных или переданных на рассмотрение выше инстанции мы добавляем точное объяснение того, что именно по-прежнему не в порядке, а также дополнительные доказательства — результаты сканирования на VirusTotal, совпадения в базах данных по аналитике угроз и соответствующие индикаторы.

Единственные автоматические сообщения в этой переписке — это собственные автоматические подтверждения регистраторов. С нашей стороны — это обоснованное заключение и официальный запрос о проверке домена и принятии соответствующих мер, а не автоматический спам.

Наш показатель ложноположительных результатов составляет менее 0.01%. Каждый результат автоматического обнаружения проходит несколько уровней проверки, прежде чем формируется отчет. Мы обеспечиваем:

• Список разрешенных — составленный вручную список надежных доменов, которые никогда не попадают в список подозрительных
• 48-часовые апелляции — каждый ложноположительный результат оперативно проверяется и устраняется
• Непрерывное уточнение классификатора — мы отслеживаем исход каждой апелляции и обновляем алгоритм обнаружения
• Кросс-валидация с использованием нескольких источников данных — домены должны сгенерировать несколько сигналов, прежде чем их статус будет подтвержден

Мы отслеживаем все основные семейства программ, выводящих средства с кошельков, и типы фишинговых наборов:

• Злоупотребление функцией Wallet Connect — Поддельные запросы WalletConnect позволяют похитить разрешения
• «Инферно Дрейнер» — один из самых активных «дрейнеров», работающих с несколькими цепочками
• Энджел Дрейнер — усовершенствованный дрейнер с поддержкой NFT
• Розовый сливной клапан — комбинация «социальная инженерия» + «дрейн»
• Фишинг с использованием разрешений/согласований — Уязвимости, связанные с утверждением токенов ERC-20 (Permit2)
• Кража семенной фразы — поддельные формы «подтвердить кошелек» или «синхронизировать кошелек»
• Мошенничество, связанное с AML/KYC — поддельные страницы подтверждения соответствия требованиям
• Мошенничество с аирдропами — страницы с поддельными заявлениями о выдаче токенов
• Инвестиционные мошенничества — поддельные торговые платформы, финансовые пирамиды
• Дрейнер «Солана» — Наборы для слива средств из кошельков на платформе Solana

Просмотрите нашу базу данных по тип мошенничества, метод мошенничества или целевой бренд.

Этот API «THE ENABLERS REGISTRY Threat» является бесплатный, открытый API обеспечение оценки рисков доменов в режиме реального времени по 834 тыс.+ угроз. API-ключ не требуется.

Конечные точки:

Пример:

curl "https://api.destroy.tools/v1/check?domain=[REDACTED]"

Ответ включает: threat (логическое значение), risk_score (0-100), severity (критический/высокий/средний/низкий), lists (в каких контейнерах содержится этот домен), и last_seen временная метка.

Мы предлагаем 7 различных источников данных через Репозиторий Destroylist:

Рекомендуется: Использование list.json или active_domains.json для производства. Использовать blocklist.json для максимального охвата.

Все каналы доступны в JSON и TXT формат. Списки корневых доменов (без поддоменов, без учета хостинг-провайдеров) также доступны отдельно.

Каждый канал доступен в 7 форматов для мгновенной интеграции:

Все форматы доступны по адресу: github.com/THE ENABLERS REGISTRY/destroylist/tree/main/rootlist/formats/

Python:

import requests

r = requests.get(f"https://api.destroy.tools/v1/check?domain={domain}")
data = r.json()
if data["threat"]:
    print(f"BLOCKED: {data['severity']} (score: {data['risk_score']})")

JavaScript:

const r = await fetch(`https://api.destroy.tools/v1/check?domain=${domain}`);
const data = await r.json();
if (data.threat) console.warn("POSSIBLY PHISHING:", data.severity, data.risk_score);

Массовая проверка (до 500 доменов):

curl -X POST "https://api.destroy.tools/v1/check/bulk" \
  -H "Content-Type: application/json" \
  -d '{"domains":["[REDACTED]","[REDACTED]","[REDACTED]"]}'

Простая проверка списка заблокированных адресов (Bash):

curl -s https://enablers.report/registrar-stats/ \
  | grep -q "[REDACTED]" && echo "BLOCKED"

Списки корней содержат только домены верхнего уровня — без субдоменов, при этом хостинг-провайдеры (Vercel, Pages.dev, Netlify и т. д.) исключаются. Благодаря этому они идеально подходят для:

• Правила брандмауэра — блокировать целые домены, а не только отдельные субдомены
• Блокировка DNS — безопасно для DNS-резолверов, без риска блокировки легитимных хостинг-платформ
• Анализ регистратора — очищенные данные для расчета показателя злоупотреблений

Доступны три варианта:

• Все корни — все подтвержденные корневые домены
• Только в прямом эфире — Активные корневые серверы, прошедшие проверку DNS
• Только услуги — отдельное размещение субдоменов на хостинговых платформах (Vercel, Pages.dev, Netlify и т. д.)

Каждый отчет по домену представляет собой исчерпывающее разведывательное досье, содержащее:

• Оценка риска — Комплексный рейтинг угрозы от 0 до 100 с классификацией по степени серьезности
• Результаты VirusTotal — результаты обнаружения 95 антивирусных движков с разбивкой по производителям
• Снимок экрана — визуальный снимок, сделанный во время сканирования (более 75 тыс. скриншотов, хранящихся локально)
• Данные WHOIS — регистратор, дата создания, данные о владельце домена, серверы имен
• Записи DNS — A, MX, NS, TXT с геолокацией по IP-адресу и флагами стран
• SSL-сертификат — эмитент, срок действия, альтернативные имена субъекта (SAN)
• Статус списка заблокированных — включение в более чем 11 крупных списков заблокированных сайтов, представляющих угрозу безопасности
• Тип мошенничества — мошенничество с опустошением кошелька, кража семенной фразы, мошенничество с аирдропами, инвестиционное мошенничество и т. д.
• Ориентация на бренд — под какой легальный бренд маскируется мошенник (более 350 отслеживаемых брендов)
• Связанные домены — другие домены, использующие общую инфраструктуру, фавикон или фишинговый набор
• IANA #1910 Radar — статус классификации домена
• Сканирование URLQuery — дополнительный анализ безопасности

Возможные причины:

• Ваш домен был ранее скомпрометированный и использоваться для фишинга без вашего ведома
• Ваш домен использует ту же инфраструктуру (IP-адрес, серверы имен), что и известные фишинговые домены
• Автоматический классификатор выдал ложноположительный результат — это происходит в <0,01 % случаев
• Кто-то подал жалобу на ваш домен через каналы сообщества

Важно: THE ENABLERS REGISTRY не блокирует домены напрямую. Мы направляем информацию производителям антивирусных программ и регистраторам, которые самостоятельно принимают решения о блокировке. Если ваш домен был помечен ошибочно, подать апелляцию — мы отвечаем в течение 48 часов и добавляем проверенные домены в наш постоянный список разрешенных адресов.

Два способа подачи апелляции:

1. Форма апелляции (самый быстрый способ) — подайте заявку на свой домен, приложив подтверждение его законности
2. Заявка на GitHub — создать заявку с приложением доказательств

Процесс:

• Мы рассматриваем в рамках 48 часов (в основном в тот же день)
• В случае одобрения домен добавляется в наш постоянный список список разрешенных
• Список разрешенных адресов является общедоступным: allowlist.json
• Изменения сразу же отражаются в нашем API и базе данных

Весь процесс абсолютно бесплатен. Мы никогда не взимаем плату за подачу апелляций или исключение из списка — никогда не взимали и не будем взимать.

Мы полностью переработали весь процесс обработки жалоб и фильтрации ложных срабатываний. Теперь он работает гораздо быстрее, надежнее и в значительной степени автоматизирован: а доверенный домен (входит в глобальный рейтинг Tranco) с нулевые значения тока исключается из списка автоматически, в течение нескольких минут подачи апелляции — без участия оператора. Все остальные запросы рассматриваются нашей командой в рамках 48-часового соглашения об уровне обслуживания (SLA).

Наш фактический показатель ложноположительных результатов составляет менее 0,01 %. Если мы всё-таки допускаем ошибку, мы исправляем её быстро и открыто — мы не боимся признавать свои ошибки.

Мы выступаем за открытость и возможность проверки. Каждое добавление и каждое удаление являются общедоступными и поддаются проверке в нашем открытом репозитории, github.com/THE ENABLERS REGISTRY/destroylist — полная история того, что мы включаем в список и исключаем из него, доступна для просмотра любому. По запросу мы также можем предоставить информацию о сроках рассмотрения, список отклоненных апелляций с указанием причин, а также доказательства, лежащие в основе любого включения в список.

Исключение из списка всегда бесплатно. Любой, кто просит деньги за удаление вашего аккаунта из THE ENABLERS REGISTRY, занимается мошенничеством.

Ничего. Ноль. Бесплатно. Всегда.

Любая третья сторона, утверждающая, что за определенную плату может удалить ваш домен из базы данных THE ENABLERS REGISTRY, занимается мошенничество. У нас нет платной программы по удалению сайтов из списка, и такой программы не будет никогда. Сообщайте нам о подобных услугах.

THE ENABLERS REGISTRY — это лишь один из многих источников. Даже после того, как мы очистим ваш домен, другие системы могут по-прежнему помечать его как подозрительный:

• Google Safe Browsing — отправить на safebrowsing.google.com
• Производители антивирусных программ — каждый из них ведет собственный список заблокированных адресов; обратитесь в службу поддержки каждого поставщика по вопросам FP
• Предупреждения браузера — может хранить старые данные в кэше в течение 24–48 часов

Проверьте свой домен на сайте VirusTotal чтобы выяснить, какие именно поставщики указывают на эту проблему, а затем связаться с каждым из них по отдельности.

При подаче сообщений о злоупотреблениях мы руководствуемся стандартами ICANN:

• Официальные уведомления о злоупотреблениях регистраторам через контакты по вопросам злоупотребления данными WHOIS
• Полные комплекты доказательств — результаты сканирования, скриншоты, отчеты в формате PDF с метаданными
• ICANN предъявляет следующие требования регистраторы должны рассматривать жалобы о злоупотреблениях в течение 24 часов
• Условное повторное обнаружение — если домен остается активным по истечении 24 часов, мы переводим дело на более высокий уровень и отправляем последующие оповещения

Когда на домен поступает от 10 до 30 и более сообщений о злоупотреблениях, а регистратор по-прежнему игнорирует их в течение нескольких месяцев, мы публично фиксируем этот факт. Регистратор больше не занимает пассивную позицию — он фактически предоставляет инфраструктуру для незаконной деятельности. Наш общедоступная база данных обеспечивает подотчетность.

Время имеет решающее значение. Действуйте немедленно:

1. СРОЧНО ОТМЕНИТЕ разрешения на использование токенов — перейти к revoke.cash незамедлительно отозвать все ожидающие утверждения кошельков. Это остановит текущий отток средств.
2. Связаться с [REDACTED] 911 — экстренное реагирование на криптоинциденты силами специалистов по безопасности. Посетите enablers.report/critical-action
3. Перевести оставшиеся средства — перевести все средства из взломанного кошелька в новый, «чистый» кошелек
4. Обратиться в полицию — подайте заявление о киберпреступлении в местное отделение полиции. Узнайте номер дела.
5. Сообщить об этом публично — файл по теме Chainabuse чтобы предупредить других и оставить документальное подтверждение
6. Сохраните ВСЕ доказательства — адреса кошельков, идентификаторы транзакций, скриншоты, логи чатов, электронные письма, URL-адрес фишинкового сайта

НЕ обращайтесь к «службам по восстановлению данных», найденным в Интернете. Более 95 % из них — это вторичные мошенники, нацеленные на поиск жертв.

Иногда, но только если вы поспешите:

• Еще не выполненные утверждения токенов: Если вы подписали только вредоносное согласие, отменить его можно на revoke.cash немедленно предотвращает дальнейшие потери
• Вывод средств с CEX: Если злоумышленник перечисляет средства на LEI:5493004F7TI6QBM4WX72, NASDAQ:COIN и т. п., правоохранительные органы могут заблокировать счета — но для этого им понадобится ваше заявление в полицию
• Паузы в игре: Некоторые межсетевые мосты приостанавливали транзакции, когда о мошенничестве сообщалось оперативно

Взгляд на реальность: Большинство случаев кражи криптовалюты в блокчейне необратимы. Лучшая защита — это профилактика: используйте аппаратные кошельки, проверяйте URL-адреса и никогда никому не сообщайте свои сед-фразы.

Предупреждающие признаки:

• Несоответствие URL-адреса — «[REDACTED]-login.com» вместо «[REDACTED].io»
• Формулировки, указывающие на срочность — «Действуйте сейчас или лишитесь доступа», «Ваш кошелек будет заблокирован»
• Запросы на предоставление семенной фразы — Ни одна легитимная служба НИКОГДА не будет запрашивать вашу семенную фразу
• Неожиданные всплывающие окна с кошельком — Запросы WalletConnect или [REDACTED], которые вы не инициировали
• Слишком хорошо, чтобы быть правдой — бесплатные аирдропы, гарантированная прибыль, «получите своё вознаграждение»
• Реклама в социальных сетях — При фишинге широко используется платная реклама в Twitter, Google и [REDACTED]
• Мошенничество с личными сообщениями и ответами — «служба поддержки клиентов» свяжется с вами первая

Защита: Всегда проверяйте домены на сайте enablers.report/domain или воспользуйтесь нашим Бот в [REDACTED] перед подключением кошелька. Ознакомьтесь с нашим полным руководством: Основы безопасности криптовалют

Практически никогда. Более 95 % «служб реабилитации» — это вторичные мошенничества направленная на людей, которые уже потеряли деньги.

Предупреждающие признаки:

• Они гарантируют восстановление (что невозможно гарантировать)
• Они требуют предоплаты
• Они нашли вас благодаря комментариям в социальных сетях о том, что вас обманули
• Они заявляют, что являются «этическими хакерами», способными «отменять транзакции»
• Они запрашивают вашу семенную фразу или доступ к кошельку

Надежная помощь (полностью бесплатная): [REDACTED] 911, местные правоохранительные органы, служба поддержки вашей биржи, Chainabuse для публичной отчетности.

Перейти в раздел «Администрирование Pi-hole» → Настройки → Списки заблокированных пользователей → вставьте этот URL-адрес:

https://enablers.report/registrar-stats/

Сохраните и обновите настройки gravity. Список обновляется автоматически в соответствии с расписанием Pi-hole.

uBlock Origin: Настройки → Списки фильтров → Импорт → вставить:

https://enablers.report/registrar-stats/

AdGuard Home: «Фильтры» → «Списки заблокированных DNS» → «Добавить список заблокированных» → вставьте тот же URL-адрес.

Для DNS-резолвера Unbound (pfSense/OPNsense):

https://enablers.report/registrar-stats/

Для BIND или Knot DNS (формат RPZ):

https://enablers.report/registrar-stats/

Для Dnsmasq:

https://enablers.report/registrar-stats/

Да! Вот как это сделать:

• Сообщить о фишинговых доменах — Бот в [REDACTED] или abuse@enablers.report
• Интегрируйте наши списки заблокированных адресов — добавить Список уничтожения в вашей системе DNS, брандмауэре или средствах безопасности
• Воспользуйтесь нашим API — создавайте инструменты, ботов или информационные панели с помощью API угроз
• Отправлять PR — усовершенствования алгоритмов обнаружения, советы по интеграции, свежая информация
• Повышать осведомленность — поделитесь результатами нашего исследования в социальных сетях

Мы не принимаем пожертвований — лучший способ поддержать нас — это сделать наши данные полезными.

Наши данные (лицензия MIT) используются для:

• Сетевая безопасность — правила брандмауэра, блокировка DNS, фильтрация электронной почты
• Автоматизация — Интеграция SIEM и SOC, автоматизированное реагирование на инциденты
• Исследование угроз — анализ фишинговых кампаний, тенденции в области подделки брендов
• Обучение в области машинного обучения и искусственного интеллекта — наборы данных для обучения модели обнаружения фишинга
• Анализ тенденций — показатели злоупотреблений со стороны регистраторов, модели рисков в доменах верхнего уровня, динамика развития «дрейнеров»
• Доказательства, имеющие юридическую силу — отчеты по доменам с указанием даты и времени для правоохранительных органов и при урегулировании страховых претензий

Исторический свод: Более 500 000 доменов, заархивированных за более чем 5 лет. Связаться с нами contact@enablers.report для доступа.