Sophos-Forscher sind schlecht, hier ist warum

Over the past few days, our support team has received multiple alerts regarding a report published by the research team at Sophos. (https://www.sophos.com/en-gb/blog/malicious-use-of-virtual-machine-infrastructure)

Für alle, die es nicht wissen: Sophos ist ein britisches Sicherheits-Software- und Hardware-Unternehmen, das angeblich für seine Expertise in der Analyse von Cyberbedrohungen bekannt ist. Nach der Lektüre ihres jüngsten Berichts über uns haben wir jedoch ernste Zweifel an der Qualität ihrer „Untersuchung“.

Der Bericht beschuldigt rdp.monster, eine Tochtergesellschaft (oder Eigentümer) von „MasterRDP“ zu sein, Dienste speziell für Kriminelle zur Durchführung von Phishing-Kampagnen anzubieten und als „bulletproof“-Host zu agieren.

Wir haben den Artikel sorgfältig gelesen. Unser Fazit? Alles darin ist falsch, haltlos und rufschädigend. Wir entlarven diese „Recherche” Punkt für Punkt.

Der Mythos: „MasterRDP = rdp.monster”

Laut den „Super-Researchern” von Sophos gehört rdp.monster entweder zu MasterRDP oder umgekehrt.

Das zu erfahren hat uns selbst ziemlich überrascht! Wir freuen uns immer, von Geisterpartnern zu hören, denen wir nie begegnet sind. Aber lass uns kurz ernst werden: rdp.monster gehört… rdp.monster.

Wir haben weltweit Hunderte von Resellern. MasterRDP gehört nicht dazu. Es gibt keine gesellschaftsrechtliche Verbindung, keine gemeinsame Infrastruktur und keine Partnerschaft. Ein klassischer Fall von Verwechslung oder fauler Assoziation.

Der Vorwurf der „geteilten Hostnames”

Der Artikel listet mehrere konkrete Windows-RDP-Hostnames auf, die angeblich für bösartige Aktivitäten genutzt wurden, und verknüpft sie mit uns.

Wir haben unsere Datenbank geprüft. KEINER der von Sophos genannten Hostnames gehört zu rdp.monster. Eine einfache WHOIS- oder IP-Prüfung hätte das in Sekunden geklärt.

Die ISPsystem-Halluzination

Sophos behauptet, rdp.monster nutze die Software ISPsystem, um virtuelle Maschinen (VMs) bereitzustellen.

Wieder falsch. Wir verwenden kein ISPsystem. Haben wir nie.

Diese Information ist extrem einfach zu verifizieren: einfach einen VPS kaufen und ins Panel schauen. Aber vielleicht war ein 8,99-$-Server zu teuer für das Sophos-Forschungsbudget?

Imaginäre Zulieferer

Der Bericht listet mehrere Unternehmen als unsere Upstream-Provider auf: First Server Limited, Stark Industries Solutions Ltd, Zomro, usw.

Von den 5 genannten Providern… sind null Provider von rdp.monster. Weder aktuell noch in der Vergangenheit. Sieht so aus, als hätte die Forschungsmethode darin bestanden, Pfeile auf eine Karte von Hosting-Firmen zu werfen.

Server in Russland, Iran und Kasachstan?

Das ist unser Lieblingsteil. Angeblich betreibt rdp.monster Server in Russland, Iran und Kasachstan.

Wir würden zu gerne die Adressen dieser Rechenzentren erfahren, damit wir sie besuchen können!

Wie kann jemand diesen Bericht ernst nehmen, wenn rdp.monster nur Server in Europa (Frankreich, Deutschland, UK, Niederlande) und den USA anbietet? Diese Info steht öffentlich auf unserer Startseite. Ein Klick. Mehr brauchte es nicht, um das zu prüfen.

Das Korn Wahrheit (und wo Sophos recht hat)

Fairerweise: nicht alles ist falsch. Sophos hat zutreffend angemerkt, dass rdp.monster auf vielen Internet-Foren präsent ist, darunter manche Black-Hat- oder Gray-Hat-SEO-Communities.

Ja, das stimmt. Wir bewerben unsere Dienste überall. Wir betreiben SEO und SEA. Wir sind ein Unternehmen und verkaufen Hosting-Infrastruktur. Werbung in einem Forum macht uns aber nicht zu einem „kriminellen Host”.

rdp.monster ist KEIN Bulletproof-Host. War es nie, wird es nie sein.

Unsere Nutzungsbedingungen (ToS) sind glasklar. Wir haben Null-Toleranz gegenüber Phishing und illegalen Aktivitäten. Wir sind an die wichtigsten Abuse-Reporting-APIs (SBL, CSS, AbuseIPDB) angebunden und sperren Instanzen sofort, sobald ein Abuse-Bericht bestätigt ist.

Fazit

Wir stehen für Privatsphäre und Datenrespekt, nicht für Kriminalität. Zwischen einem „anonymen VPS” (Schutz der Nutzeridentität) und einem „Bulletproof-VPS” (Schutz krimineller Aktivität) liegt ein riesiger Unterschied. rdp.monster steht für Ersteres.

Wir warten auf eine Korrektur des Sophos-Teams zu dieser irreführenden Recherche. In der Zwischenzeit stehen wir gern für Fragen zur Verfügung — oder, falls nötig, für ein Tutorial zur Verwendung von `traceroute`.

An das Sophos-Forschungsteam, nicht böse gemeint, aber… ihr habt das hier fallen lassen.