Các nhà nghiên cứu của Sophos làm việc tệ, và đây là lý do

Trong vài ngày qua, đội ngũ hỗ trợ của chúng tôi đã nhận được nhiều cảnh báo liên quan đến một báo cáo do nhóm nghiên cứu của Sophos công bố. (https://www.sophos.com/en-gb/blog/malicious-use-of-virtual-machine-infrastructure)

Cho những ai chưa biết, Sophos là một công ty Anh chuyên về phần mềm và phần cứng bảo mật, được cho là nổi tiếng nhờ chuyên môn phân tích các mối đe dọa an ninh mạng. Tuy nhiên, sau khi đọc bài viết mới nhất của họ về chúng tôi, chúng tôi thực sự nghi ngờ chất lượng của “cuộc điều tra” này.

Báo cáo cáo buộc rdp.monster là công ty con của (hoặc là chủ sở hữu của) “MasterRDP”, cung cấp các dịch vụ được thiết kế riêng cho tội phạm để thực hiện các chiến dịch lừa đảo (phishing), và hoạt động như một host “bulletproof” (‘chống đạn’).

Chúng tôi đã đọc kỹ bài viết. Kết luận của chúng tôi? Mọi nội dung trong đó đều sai sự thật, vô căn cứ và mang tính phỉ báng. Hãy cùng bóc tách “nghiên cứu” này từng điểm một.

Huyền thoại: “MasterRDP = rdp.monster”

Theo các “siêu nhà nghiên cứu” của Sophos, rdp.monster hoặc thuộc về MasterRDP, hoặc ngược lại.

Chính chúng tôi cũng khá bất ngờ khi biết điều này! Chúng tôi luôn vui mừng khi phát hiện ra mình có những đối tác ma mà chưa từng gặp mặt. Nhưng hãy nghiêm túc một chút: rdp.monster thuộc về… rdp.monster.

Chúng tôi có hàng trăm đại lý trên toàn thế giới. MasterRDP không phải là một trong số đó. Không có liên kết pháp nhân, không có hạ tầng dùng chung và không có quan hệ đối tác nào. Đây là một trường hợp điển hình của nhầm lẫn danh tính hoặc suy diễn liên hệ một cách cẩu thả.

Cáo buộc về “hostname dùng chung”

Bài viết liệt kê một số hostname Windows RDP cụ thể được cho là đã bị dùng cho các hoạt động độc hại, và gắn chúng với chúng tôi.

Chúng tôi đã kiểm tra cơ sở dữ liệu của mình. KHÔNG hostname nào trong số những hostname mà Sophos nêu ra thuộc về rdp.monster. Một lần tra cứu WHOIS hoặc kiểm tra IP đơn giản là đã có thể làm rõ chuyện này trong vài giây.

Ảo giác ISPsystem

Sophos khẳng định rằng rdp.monster dùng phần mềm ISPsystem để triển khai các máy ảo (VM) của mình.

Lại sai nữa rồi. Chúng tôi không dùng ISPsystem. Chưa bao giờ dùng.

Kiểm chứng thông tin này cực kỳ dễ: chỉ cần mua một VPS và nhìn vào bảng điều khiển. Nhưng có lẽ mua một máy chủ $8.99 là quá đắt so với ngân sách nghiên cứu của Sophos?

Những nhà cung cấp tưởng tượng

Báo cáo liệt kê một số công ty là nhà cung cấp thượng nguồn (upstream) của chúng tôi: First Server Limited, Stark Industries Solutions Ltd, Zomro, v.v.

Trong danh sách 5 nhà cung cấp được nêu ra… không có nhà cung cấp nào cung cấp dịch vụ cho rdp.monster. Cả hiện tại lẫn trước đây. Có vẻ như phương pháp nghiên cứu là ném phi tiêu vào một tấm bản đồ các công ty hosting.

Máy chủ ở Nga, Iran và Kazakhstan?

Đây là phần chúng tôi thích nhất. Theo họ, rdp.monster vận hành máy chủ ở Nga, Iran và Kazakhstan.

Chúng tôi rất muốn biết địa chỉ của các trung tâm dữ liệu này để có thể đến thăm!

Làm sao ai có thể tin vào báo cáo này khi rdp.monster chỉ cung cấp máy chủ ở châu Âu (Pháp, Đức, Anh, Hà Lan) và Mỹ? Thông tin này được công khai trên trang chủ của chúng tôi. Một cú nhấp chuột. Chỉ cần vậy là đủ để kiểm chứng.

Hạt sạn sự thật (và chỗ Sophos nói đúng)

Công bằng mà nói, không phải mọi thứ đều sai. Sophos đã ghi nhận đúng rằng rdp.monster có mặt trên nhiều diễn đàn internet, bao gồm một số cộng đồng SEO black-hat (‘mũ đen’) hoặc gray-hat (‘mũ xám’).

Đúng, điều này là thật. Chúng tôi quảng bá dịch vụ của mình ở khắp nơi. Chúng tôi làm SEO và SEA. Chúng tôi là một doanh nghiệp, và chúng tôi bán hạ tầng hosting. Tuy nhiên, quảng cáo trên một diễn đàn không biến chúng tôi thành một “host tội phạm”.

rdp.monster KHÔNG phải là host bulletproof. Chưa từng là, và sẽ không bao giờ là.

Điều khoản dịch vụ (ToS) của chúng tôi hoàn toàn rõ ràng. Chúng tôi không khoan nhượng với phishing hay các hoạt động bất hợp pháp. Chúng tôi tích hợp với các API báo cáo lạm dụng lớn (SBL, CSS, AbuseIPDB) và tạm ngưng instance ngay lập tức khi nhận được báo cáo lạm dụng đã được xác minh.

Kết luận

Chúng tôi bảo vệ quyền riêng tư và sự tôn trọng dữ liệu, không phải tội phạm. Có một khác biệt rất lớn giữa “VPS ẩn danh” (Anonymous VPS, bảo vệ danh tính người dùng) và “VPS bulletproof” (Bulletproof VPS, che chắn cho hoạt động tội phạm). rdp.monster đứng về phía điều thứ nhất.

Chúng tôi đang chờ nhóm Sophos đính chính về nghiên cứu gây hiểu lầm này. Trong lúc chờ đợi, chúng tôi vẫn sẵn sàng giải đáp mọi câu hỏi, hoặc hướng dẫn họ cách dùng `traceroute` nếu cần.

Gửi nhóm nghiên cứu Sophos, không có ý gì đâu, nhưng… các bạn đánh rơi cái này.