ប៉ូលិស FBI បិទចោលនូវប្រតិបត្តិការ 3ve-Ad Fraud ដែលមានទឹកប្រាក់រាប់លានដុល្លារ

December 1, 2018

ក្រុមហ៊ុន Google, FBI, ក្រុមហ៊ុនប្រយុទ្ធប្រឆាំងការក្លែងបន្លំ WhiteOps និងក្រុមហ៊ុនសន្តិសុខអ៊ិនធើណេតធ្វើការរួមគ្នាដើម្បីបិទកម្មវិធីចារកម្មឌីជីថលធំបំផុត និងទំនើបបំផុតដែលចម្លងមេរោគច្រើនជាង ១.៧ លានកុំព្យូទ័រ ដើម្បីបង្កើតការចុចក្លែងក្លាយដែលអាចប្រើដើម្បីបន្លំអ្នកផ្សាយពាណិជ្ជកម្មអនឡាញអស់រយៈពេលជាច្រើនឆ្នាំមកហើយ និងបានរកប្រាក់ចំណូលរាប់សិបលានដុល្លារ។

គេជឿថា យុទ្ធនាការក្លែងបន្លំតាមអ៊ិនធើណេតមានភាពសកម្មតាំងពីឆ្នាំ ២០១៤ ប៉ុន្ដែសកម្មភាពក្លែងបន្លំរបស់វារីកចម្រើននៅឆ្នាំមុន ដោយសាវាបានក្លាយទៅជាជំនួញខ្នាតធំហើយរកប្រាក់ចំណូលបានច្រើនជាង ៣០ លានដុល្លារ។ ទន្ទឹមនឹងនេះដែរ ក្រសួងយុត្តិធម៌អាមេរិក (DoJ) ធ្វើការចោទប្រកាន់ចំនួន ១៣ ករណី ប្រឆាំងនឹងមនុស្សចំនួន ៨ នាក់មកពីប្រទេសរុស្ស៊ីកា ហ្សាក់ស្ថាន និងអ៊ុយក្រែន ដោយចោទប្រកាន់ពួកគេថាបានប្រើប្រាស់គម្រោងផ្សាយពាណិជ្ជកម្មអនឡាញដ៏ធំនេះ។

គម្រោង botnet 3ve ដាក់ពង្រាយយុទ្ធវិធីខុសៗគ្នាដូចជាបង្កើត botnets ផ្ទាល់ខ្លួនបង្កើត versions ក្លែងក្លាយទាំងផ្នែកគេហទំព័រ និងអ្នកទស្សនាដោយលក់នូវបញ្ជីសារពើភ័ណរបស់អ្នកផ្សាយពាណិជ្ជកម្ម ការហេគលើអាសយដ្ឋាន IP របស់ Border Gateway Protocol (BGP) ដោយប្រើ proxies ដើម្បីលាក់អាសយដ្ឋាន IP ពិតប្រាកដ និងបញ្ជ្រាបមេរោគចូលកុំព្យូទ័ររបស់អ្នកប្រើប្រាស់ទាំងអស់ដើម្បីបង្កើតការចុចក្លែងក្លាយលើការផ្សព្វផ្សាយពាណិជ្ជកម្មលើ បណ្តាញ និងទទួលបានប្រាក់ខែ។

ក្រុមអ្នកស៊ើបអង្កេតរបស់អង្គការ WhiteOps បាននិយាយថា “អ្នកលួចបច្ចេកវិទ្យាដែលមានបទពិសោធក្នុងការព្យាយាមផលិតចរាចរក្លែងក្លាយ និងបញ្ជីសារពើភ័ណក្លែងបន្លំដើម្បីបញ្ឆោតអ្នកផ្សាយពាណិជ្ជកម្មឱ្យជឿថា ការផ្សាយពាណិជ្ជកម្មរបស់ពួកគេត្រូវបានគេមើលឃើញដោយអ្នកប្រើពិតប្រាកដ” ។ ក្រុមអ្នកស៊ើបអង្កេតរបស់អង្គការ WhiteOps និយាយថា អ្នកលួចក្នុងវិស័យបច្ចេកវិទ្យាដែលមានបទពិសោធព្យាយាមផលិតចរាចរក្លែងក្លាយ និងបញ្ជីសារពើភ័ណក្លែងបន្លំដើម្បីបញ្ឆោតអ្នកផ្សាយពាណិជ្ជកម្មឱ្យជឿថាការផ្សាយពាណិជ្ជកម្មរបស់ពួកគេត្រូវបានគេមើលឃើញដោយអ្នកប្រើពិតប្រាកដ” ។

3ve មានកុំព្យូទ័រចំនួន ១.៧ លានគ្រឿងដែលឆ្លងមេរោគ malware លើ server មានចំនួនច្រើនជាង ៨០ ក្នុងការបង្កើតចរាចរ internet ក្លែងក្លាយច្រើនជាង ១០ ០០០ ដោយប្រើគេហទំព័រក្លែងក្លាយបន្លំអ្នកផ្សព្វផ្សាយគេហទំព័រស្របច្បាប់ និងគណនីជាង ៦០ ០០០0 ដែលលក់នូវបញ្ជីសារពើភណ្ឌតាមរយះអាសយដ្ឋាន IP មានចំនួនច្រើនជាង ១ លានដែលបង្កើតប្រាក់បានពី ៣ ទៅ ១២ ពាន់លាន របស់សំណើដេញថ្លៃពាណិជ្ជកម្មប្រចាំថ្ងៃនៅកំពូលរបស់ខ្លួន។

3ve ប្រតិបត្ដិការក្លែងបន្លំពាណិជ្ជកម្ម – ប្រភេទនិងការដំណើការរបស់វា

យោងតាមប្រភពក្រុមហ៊ុន Google និងក្រុមហ៊ុនបណ្តាញអ៊ិនធើណេតជាច្រើនមានគម្រោងក្លែងបន្លំ ត្រូវគេដាក់ឈ្មោះថា 3ve ព្រោះវាពឹងផ្អែកលើសំណុំនៃអនុកម្មដ្ឋានខុសគ្នាចំនួន ៣ ដែលម្នាក់ៗយកវិធានការពិសេសដើម្បីចៀសវាងការរកឃើញហើយម្នាក់ៗបានស្ថាបង្កើតទម្រង់ខុសៗគ្នាដោយប្រើសមាសធាតុផ្សេងៗគ្នា។ក្រុមហ៊ុន Google និយាយថា ប្រតិបត្តិកររបស់ខ្លួនតែងតែយកវិធីថ្មីដើម្បីក្លែងបន្លំរូបយន្តរបស់ 3ve ដែលអនុញ្ញាតឱ្យប្រតិបត្តិការបន្តរីកចម្រើនទោះបីជាដំណើរការរបស់ពួកគេត្រូវគេដាក់ចូលក្នុងបញ្ជីខ្មៅក៏ដោយនៅពេលណាដែលពួកគេត្រូវគេបិទនៅកន្លែងមួយពួកគេនឹងលេចឡើងនៅកន្លែងផ្សេងទៀត។ខាងក្រោមនេះជាទិដ្ឋភាពទូទៅសង្ខេបនៃប្រតិបត្ដិការទាំងបី ៣:

3VE.1— BOAXXE Malware Scheme, aka METHBOT ឬ MIUREF

ការអនុវត្ដការក្លែងបន្លំការផ្សាយពាណិជ្ជកម្មចំនួន ៣ ដងលើកដំបូងរបស់ 3ve ត្រូវបានគេហៅថា 3ve.1 គេប្រើវាដើម្បីជាប្រយោជន៍ច្បាស់លាស់ និងត្រូវគេបំពាក់ដោយបណ្តាញ bots ដែលកំពុងដំណើរការនៅក្នុងមជ្ឈមណ្ឌលទិន្នន័យនៅទូទាំងសហរដ្ឋអាមេរិកនិងអឺរ៉ុប។

ប្រតិបត្តិការនេះត្រូវគេប្រើប្រាស់ Bootxe botnet ដែលត្រូវគេស្គាល់ថា ជា Miuref និង Methbot និង BGP ដើម្បីទទួលបានអាសយដ្ឋាន IP ដែលគេប្រើប្រាស់វាដើម្បីចែកចាយពីឧបករណ៍ដែលមានមេរោគនៅក្នុងមជ្ឈមណ្ឌលទិន្នន័យ និងទស្សនាគេហទំព័រក្លែងក្លាយ និងពិតប្រាកដ។

ដំបូង កម្មវិធីរបស់ការផ្សាយពាណិជ្ជកម្មក្លែងក្លាយទាំងអស់មានប្រភពមកពីកម្មវិធីរុករកលើកុំព្យូទ័រ ប៉ុន្តែក្នុងរយៈពេលប្រតិបត្តិការនេះ វាចាប់ផ្តើមកាន់តែច្រើនដោយពឹងផ្អែកលើការចរាចរទូរស័ព្ទចល័តក្លែងបន្លំពីឧបករណ៍ Android-ad-requests spoofed ដើម្បីមើលទៅដូចជាពួកគេមានប្រភពមកពីកម្មវិធីទូរស័ព្ទ ឬពីកម្មវិធីអ៊ីនធើណិតចល័ត។

ចាប់ពីខែកញ្ញាឆ្នាំ២០១៤ ដល់ខែធ្នូឆ្នាំ២០១៦ ក្នុងគម្រោងការណ៍នេះ គេប្រើម៉ាស៊ីនកុំព្យួទ័រចំនួន១៩០០ នៅក្នុងមជ្ឈមណ្ឌលទិន្នន័យពាណិជ្ជកម្មដើម្បីផ្ទុកពត៌មានផ្សព្វផ្សាយពីអ្នកផ្សាយពាណិជ្ជកម្មលើគេហទំព័រក្លែងក្លាយចំនួន៥០០០ ដែលបង្កើតប្រាក់ចំណេញរាប់លានដុល្លារសម្រាប់ប្រតិបត្តិកររបស់ខ្លួន។

3VE.2 – គ្រោងការណ៍ Malware របស់ KOVORT

វិធីសាស្រ្តនេះប្រើ domains ក្លែងក្លាយដើម្បីលក់សារពើភ័ណ្ឌផ្សាយពាណិជ្ជកម្មក្លែងក្លាយដល់អ្នកឃោសនា។ ទោះជាយ៉ាងណាក៏ដោយជំនួសឱ្យការពឹងផ្អែកលើ proxies ដើម្បីបិទបាំងសកម្មភាពរបស់ខ្លួន វិធីសាស្រ្តនេះដាក់ពង្រាងការរុករកលាក់ខ្លួន (Chromium Embedded Framework) លើកុំព្យូទ័រជាង ៧០០ ០០០ គ្រឿងដែលឆ្លងមេរោគ Kovter ។ គម្រោងការណ៍នេះប្រើម៉ាស៊ីនបញ្ជូនបន្តដែលណែនាំកុំព្យូទ័រឆ្លងមេរោគដើម្បីទស្សនាទំព័រក្លែងក្លាយ។

តាមរយៈការរកឃើញដោយ ESET ក្នុងឆ្នាំ ២០១៤ មេរោគ Kovter ក្លាយជាផ្នែកមួយនៃ មេរោគ ransomware ប៉ុន្តែក្រុមមេរោគបានវិវត្តតាំងពីពេលនោះមកដើម្បីក្លាយទៅជាមេរោគក្លែងបន្លំផ្សព្វផ្សាយដែលមានលទ្ធភាពបញ្ជូនដំណើរការក្លែងក្លាយ ប្រសិនបើវាចាប់បានម៉ូនីទ័ររបស់វា។ ប្រសិនបើ Windows Task Manager ចាប់ផ្តើមប្រើភាពអត់ធ្មត់ដែលគេហៅថា “គ្មានឯកសារ” ដោយរក្សាទុកនូវឯកសារផ្ទុកព្យាបាទរបស់ខ្លួនដែលអ៊ីនគ្រីបក្នុងបញ្ជីឈ្មោះវីនដូ និងច្រើនទៀត។

3VE.3-Data Center IPs ជា Proxies

អនុសម្ពន្ធរងទី ៣ មានភាពស្រដៀងគ្នានឹង 3ve.1 ។ bots របស់វាត្រូវបានគេពឹងផ្អែកលើមជ្ឈមណ្ឌលទិន្នន័យមួយចំនួន ប៉ុន្ដែដើម្បីគ្របដណ្ដប់ផ្លូវរបស់វា វាប្រើអាសយដ្ឋាន IP របស់មជ្ឈមណ្ឌលទិន្នន័យផ្សេងទៀតដូចជាប្រើ proxies (ស្រទាប់ថ្នាំងចេញ) ជំនួសឱ្យកុំព្យូទ័ររស់នៅផ្ទះ។

ទោះបីជាមជ្ឈមណ្ឌលទិន្នន័យមានការសង្ស័យចំពោះអ្នកផ្សព្វផ្សាយដែលមានការព្រួយបារម្ភអំពីចរាចរណ៍ យុទ្ធសាស្ត្រ 3ve.3 នៅតែអនុញ្ញាតឱ្យមានកម្រិតលឿនបំផុត ដោយជួយប្រតិបត្តិកររបស់ខ្លួនក្នុងការស្វែងរកមជ្ឈមណ្ឌលទិន្នន័យថ្មីៗនៅពេលដែលមជ្ឈមណ្ឌលទិន្នន័យចាស់ត្រូវគេរារាំង។

អាជ្ញាធរបិទ “3ve” ដែលជាប្រតិបត្ដិការក្លែងបន្លំពាណិជ្ជកម្ម

ក្រុមហ៊ុន Google រកឃើញប្រតិបត្តិការ ៣ ឆ្នាំ នៅឆ្នាំមុនខណៈពេលដែលក្រុមហ៊ុនរបស់ខ្លួនវាយតម្លៃពីផលប៉ះពាល់របស់ប្រតិបត្តិការ Methbot ដែលជាសហគ្រាសក្លែងបន្លំពាណិជ្ជកម្មដែលក្រុមហ៊ុន White Ops បង្ហាញនៅឆ្នាំ ២០១៦ ដោយ ESET ដាក់ឈ្មោះថា Boaxxe botnet ។ ទោះបីជាយ៉ាងណាក៏ដោយ ក្រោយពីសកម្មភាពរបស់ 3ve រីកចម្រើនក្នុងឆ្នាំ២០១៧ ដោយបង្កើតសំណើសុំការផ្សាយពាណិជ្ជកម្មប្រចាំឆ្នាំរាប់ពាន់លាន Google បានសហការជាមួយក្រុមហ៊ុនសន្ដិសុខដទៃទៀតដែលកំពុងធ្វើការស៊ើបអង្កេតឯករាជ្យលើប្រតិបត្តិការក្លែងបន្លំពាណិជ្ជកម្មនេះដើម្បីអាវបិទបណ្តាញទាំងនោះទាំងស្រុង។

ក្រុមហ៊ុន Google និងក្រុមហ៊ុនសន្តិសុខដទៃទៀតធ្វើការជាមួយ FBI ដើម្បីបិទប្រតិបត្តិការប្រតិបត្ដិការក្លែងបន្លំដ៏ធំនេះ។ បន្ទាប់ពីទទួលបានដីកានៅខែមុន FBI រឹបអូសយកបានអ៊ីនធើណែត ៣១ និងម៉ាស៊ីនមេ ៨៩ ដែលជាផ្នែកមួយនៃហេដ្ឋារចនាសម្ព័ន្ធ 3ve ។ ក្រុមហ៊ុនសន្តិសុខក្នុងវិស័យឯកជនជួយចុះបញ្ជីហេដ្ឋារចនាសម្ព័ន្ធ 3ve ដែលជាប់ពាក់ព័ន្ធក្នុងគ្រោងការណ៍ក្លែងបន្លំផ្សព្វផ្សាយ និងការបិទដំណើរការលើ domains អាក្រក់។

មនុស្ស ៨ នាក់ត្រូវគេចោទប្រកាន់ពីគម្រោងក្លែងបន្លំប្រាក់រាប់ពាន់ដុល្លារ

នៅថ្ងៃអង្គារ ក្រសួងយុត្តិធម៌អាមេរិកចោទប្រកាន់មនុស្សប្រាំបីនាក់ដែលត្រូវគេចោទប្រកាន់ថាមានជាប់ពាក់ព័ន្ធក្នុងការផ្សព្វផ្សាយតាមអ៊ីនធើណេត ដែលមានប្រជាប្រិយភាពចំនួន ៥ នាក់ក្នុងនោះមានជនជាតិរុស្ស៊ីម្នាក់ និងអ៊ុយក្រែន និងមនុស្សពីរនាក់ផ្សេងទៀតមកពីកាហ្សាក់ស្ថាន។ ពួកគេបីនាក់ត្រូវគេចាប់ខ្លួនរួចហើយ។

លោក Aleksandr Zhukov (មានអាយុ៣៨ ឆ្នាំ មកពីសហព័ន្ធរុស្ស៊ី) [ចាប់ខ្លួនពីប៊ុលហ្គារី]
Boris Timokhin (អាយុ៣៩ ឆ្នាំ មកពីសហព័ន្ធរុស្ស៊ី) [ចាប់ខ្លួនពីប្រទេសអេស្តូនី]
Mikhail Andreev (អាយុ៣៤ ឆ្នាំ មកពីសហព័ន្ធរុស្ស៊ី និងអ៊ុយក្រែន)
Denis Avdeev (អាយុ៤០ មកពីសហព័ន្ធរុស្ស៊ី)
Dmitry Novikov (សហព័ន្ធរុស្ស៊ី)
Sergey Ovsyannikov (អាយុ ៣០ ឆ្នាំ មកពីសាធារណរដ្ឋកាហ្សាក់ស្ថាន) [ចាប់ខ្លួនពីម៉ាឡេស៊ី]
លោកអាឡិចសាន់ដឺរអ៊ីសែវ (Aleksandr Isaev (មានអាយុ៣១ ឆ្នាំ មកពីសាធារណរដ្ឋកាហ្សាក់ស្ថាន)
Yevgeniy Timchenko (មានអាយុ៣០ ឆ្នាំ មកពីសាធារណរដ្ឋកាហ្សាក់ស្ថាន)

ការិយាល័យនេះក៏ពង្រីកការកោតសរសើររបស់ខ្លួនដល់សាជីវកម្ម Microsoft, ESET, Trend Micro Inc, សាជីវកម្ម Symantec, CenturyLink, Inc, F-Secure Corporation, Malwarebytes, MediaMath, សម្ព័ន្ធជាតិអ៊ិនធើណេត និងបណ្តុះបណ្តាល និងបង្កើតមូលនិធិ Shadowserver Foundation សម្រាប់ជំនួយរបស់ពួកគេនៅក្នុង ការបិទ botnet នេះយោងតាមប្រភពមកពី DOJ ។

ជនជាប់ចោទត្រូវគេចោទប្រកាន់ចំនួន ១៣ ករណីពីបទល្មើសព្រហ្មទណ្ឌរួមមានការលួចបន្លំ លួចទិន្នន័យ ការលួចអត្តសញ្ញាណ ការលាងលុយកខ្វក់និងការផ្សំគំនិតប្រព្រឹត្តបទល្មើសកុំព្យូទ័រក្នុងចំណោមបទល្មើសផ្សេងទៀត៕