Les chercheurs Sophos sont mauvais, voici pourquoi

Over the past few days, our support team has received multiple alerts regarding a report published by the research team at Sophos. (https://www.sophos.com/en-gb/blog/malicious-use-of-virtual-machine-infrastructure)

Pour ceux qui ne savent pas, Sophos est une société britannique de logiciels et matériels de sécurité, supposément réputée pour son expertise en analyse de menaces cyber. Après avoir lu leur dernière publication nous concernant, nous avons cependant de sérieux doutes sur la qualité de leur « enquête ».

Le rapport accuse rdp.monster d'être une filiale (ou propriétaire) de « MasterRDP », de fournir des services taillés sur mesure pour des criminels qui mènent des campagnes de phishing, et d'opérer comme un hébergeur « bulletproof ».

Nous avons lu l'article attentivement. Notre conclusion ? Tout ce qu'il contient est faux, infondé et diffamatoire. Démontons cette « recherche » point par point.

Le mythe : « MasterRDP = rdp.monster »

Selon les « super-chercheurs » de Sophos, rdp.monster appartient à MasterRDP ou inversement.

Nous avons été assez surpris de l'apprendre nous-mêmes ! Nous sommes toujours ravis de découvrir des partenaires fantômes que nous n'avons jamais rencontrés. Mais soyons sérieux un instant : rdp.monster appartient à… rdp.monster.

Nous avons des centaines de revendeurs dans le monde. MasterRDP n'en fait pas partie. Aucun lien capitalistique, aucune infrastructure partagée, aucun partenariat. C'est un cas classique d'erreur d'identification ou d'association paresseuse.

L'accusation des « hostnames partagés »

L'article liste plusieurs hostnames Windows RDP spécifiques prétendument utilisés pour des activités malveillantes, en nous les liant.

Nous avons vérifié dans notre base de données. AUCUN des hostnames mentionnés par Sophos n'appartient à rdp.monster. Un simple WHOIS ou check IP aurait clarifié l'affaire en quelques secondes.

L'hallucination ISPsystem

Sophos affirme que rdp.monster utilise le logiciel ISPsystem pour déployer ses machines virtuelles (VM).

Encore raté. Nous n'utilisons pas ISPsystem. Nous ne l'avons jamais utilisé.

Vérifier cette information est extrêmement simple : il suffit d'acheter un VPS et de regarder le panneau. Mais peut-être qu'acheter un serveur à 8,99 $ était trop cher pour le budget recherche de Sophos ?

Des fournisseurs imaginaires

Le rapport liste plusieurs entreprises comme nos fournisseurs upstream : First Server Limited, Stark Industries Solutions Ltd, Zomro, etc.

Sur la liste de 5 fournisseurs mentionnés… zéro n'est fournisseur de rdp.monster. Ni actuellement, ni historiquement. On dirait que la méthodologie de recherche consistait à lancer des fléchettes sur une carte d'hébergeurs.

Des serveurs en Russie, en Iran et au Kazakhstan ?

C'est notre passage préféré. Apparemment, rdp.monster exploite des serveurs en Russie, en Iran et au Kazakhstan.

On adorerait connaître les adresses de ces datacenters pour pouvoir aller les visiter !

Comment quiconque peut-il prendre ce rapport au sérieux quand rdp.monster ne propose des serveurs qu'en Europe (France, Allemagne, Royaume-Uni, Pays-Bas) et aux États-Unis ? Cette information est publique sur notre page d'accueil. Un clic. C'est tout ce qu'il fallait pour vérifier.

Le grain de vérité (et où Sophos a raison)

Pour être juste, tout n'est pas faux. Sophos a correctement noté que rdp.monster est présent sur de nombreux forums internet, y compris certaines communautés SEO black-hat ou gray-hat.

Oui, c'est vrai. Nous faisons notre marketing partout. Nous faisons du SEO et du SEA. Nous sommes une entreprise, et nous vendons de l'infrastructure d'hébergement. Cela dit, faire de la publicité sur un forum ne fait pas de nous un « hébergeur criminel ».

rdp.monster N'EST PAS un hébergeur bulletproof. Ne l'a jamais été, ne le sera jamais.

Nos conditions d'utilisation (CGU) sont limpides. Tolérance zéro pour le phishing ou les activités illégales. Nous sommes intégrés aux principales API de signalement d'abus (SBL, CSS, AbuseIPDB) et nous suspendons les instances dès qu'un signalement est vérifié.

Conclusion

Nous défendons la vie privée et le respect des données, pas la criminalité. Il y a une différence énorme entre un « VPS anonyme » (qui protège l'identité de l'utilisateur) et un « VPS bulletproof » (qui protège l'activité criminelle). rdp.monster se range du premier côté.

Nous attendons une rectification de l'équipe Sophos concernant cette recherche trompeuse. En attendant, nous restons disponibles pour toute question — ou s'ils ont besoin d'un tutoriel sur l'utilisation de `traceroute`.

À l'équipe de recherche Sophos, sans rancune, mais… vous avez fait tomber ça.