Hoe onderzoekers OSINT gebruiken om IPTV-piraten op te sporen
Misschien wel het belangrijkste aspect van het runnen van een piratensite of -service is niet gepakt worden. Ontmaskerd worden door antipiraterijgroepen kan juridische problemen betekenen of in het ergste geval een strafrechtelijke verwijzing. Dus hoe sporen de autoriteiten exploitanten op en identificeren ze? Volgens hun eigen trainingen draait het allemaal om OSINT. In sommige gevallen is het proces inderdaad heel eenvoudig.
Maatregelen om online piraterij aan te pakken worden vaak beschreven als een spelletje whac-a-mole, in dit geval een spel waarbij piraten op het hoofd worden geslagen om ergens anders op te duiken - het aanbod van films, tv-programma's, live sport en muziek intact.
Vanuit het perspectief van de gemiddelde piraat is het spel volledig zinloos - zinloos zelfs. Maar voor antipiraterijgroepen over de hele wereld is het betrekken van piraten bij dit irritante spel een belangrijke vorm van verstoring. Het is de op een na beste optie gezien de 0% kans om alle piraterij te doden en de kans van meer dan 0% dat ze zullen overstappen naar een juridische dienst.
De massale verspreiding van illegale IPTV-diensten in de afgelopen jaren is een groot probleem voor veel rechthebbenden. Ze kunnen een paar irriteren met ISP-blokkering, maar achter de schermen sluiten ze er ook een paar hier af en een paar daar beneden. Hoe ze dat doen is zelden voor publieke consumptie, maar documenten die beschikbaar zijn gesteld aan TorrentFreak schijnen een beetje licht op de basis. Maar eerst een korte primer.
OSINT - Open Source Intelligence
Op het laagste niveau is OSINT voor iedereen beschikbaar door eenvoudig gegevens te verzamelen en te verwerken die zijn gevonden met behulp van een zoekmachine. In de wereld van OSINT vertegenwoordigen zoekmachines echter slechts een handvol tools in een extreem grote toolbox. Wanneer deze tools worden gecombineerd en verzamelde gegevens effectief worden verwerkt, is het mogelijk om zorgwekkende niveaus van informatie te verkrijgen over alle behalve de meest geharde doelen.
De onderstaande schermafbeelding toont slechts enkele van de tools die door OSINT Framework worden vermeld, maar zelfs deze selectie krast nauwelijks het oppervlak, vooral als we de bijbehorende vaardigheden opnemen die nodig zijn om effectief gegevens te verzamelen en vervolgens te correleren.
Als het gaat om online antipiraterijonderzoeken, kunnen OSINT-tools en -technieken bijna op maat zijn gemaakt voor de taak die voor handen is. Elk stuk informatie over een site-exploitant (zoals een domeinnaam, IP-adres of e-mailadres) heeft het potentieel om de online voetafdruk van een persoon bloot te leggen. En aangezien de online levens van vandaag de dag onlosmakelijk verbonden zijn met die van offline, is het niet moeilijk om te zien waar dingen kunnen eindigen.
IPTV – Voorbeelden van onderzoek
In 2021 gaf een door de Europese Unie/EUIPO gefinancierd project een presentatie in Azië die zich richtte op het onderzoek naar verschillende spelers in het illegale IPTV-ecosysteem. De onderstaande grafiek bevat alles van contentproviders, aggregators en ontwikkelaars tot geld en 'abonnementsezels' - ook wel bekend als 'resellers'.
Een interessant onderdeel betreft serverapparaten die bekend staan als 'transcoders'. Videostreams worden naar deze servers verzonden vanaf externe bronnen (live tv- of IP-streams) en vervolgens getranscodeerd / geconverteerd naar meerdere streams voor levering aan de weergaveapparaten van meerdere gebruikers, meestal via andere netwerkinfrastructuur.
Het specifieke model dat in de dia's wordt genoemd (TBS8520) kan worden beheerd met behulp van een systeem genaamd 'Kylone' dat toegankelijk is via een webbrowser. Dus toen de onderzoekers naar 'Kylone' zochten met behulp van 'ZoomEye' (een OSINT-zoekmachine voor het 'Internet of Things') kon het systeem informatie verstrekken over meer dan 141 transcoders. (Opmerking: Shodan gebruiken is ook een optie)
Weten waar deze servers zich bevinden, is om voor de hand liggende redenen nuttige informatie. Een IP-adres (zoals het eerste resultaat in de bovenstaande grafiek) heeft het potentieel om met behulp van eenvoudige hulpmiddelen naar een hostnaam of zelfs een fysieke locatie te leiden.
(Opmerking: hostingbedrijven, inclusief die in het voorbeeld, hebben misschien geen idee dat een klant betrokken is bij illegale activiteiten en in elk geval is de klant in kwestie waarschijnlijk al lang verdwenen)
Ulango.TV: een les in hoe je betrapt kunt worden
In januari 2020 ontdekten we dat de Alliance for Creativity and Entertainment Ulango.tv, een 'IPTV-oplossing' die duizenden live kanalen aanbiedt via een app, had verwijderd. Voor zover we weten, heeft ACE nog steeds geen verantwoordelijkheid opgeëist, maar het lijdt geen twijfel dat ze het hebben neergehaald of op de een of andere manier betrokken waren.
Volgens dia's in de EU/EUIPO-presentatie was het kraken van de zaak de eenvoud zelve. Gewapend met de domeinnaam van de site (ulango.tv) en een WHOIS-service, konden de onderzoekers een IP-adres en de gegevens van het bedrijf dat de server hosten verkrijgen.
Vervolgens maakten ze een kaart van de ulango.tv site met behulp van deze tool, die een lijst met externe sites produceerde waaraan het .tv-domein was gekoppeld. Dat omvatte een link naar een Twitter-account en een ander stukje van de puzzel.
Toen we ons tot Hunter.io wenden, een zeer krachtige service voor e-mailgerelateerde onderzoeken, zochten ze naar het Ulango.tv domein en vonden ze een e-mailadres dat ermee verbonden was. Op dit punt lijken ze een klein beetje schedelduggery te hebben gebruikt.
Met behulp van de diensten Fakemail en Fake Person Generator maakten ze een account aan op Ulango.tv met valse informatie. Het is duidelijk dat er redenen zijn waarom onderzoekers zichzelf niet willen blootstellen in situaties als deze, omdat dat contraproductief kan zijn.
Zoals de dia laat zien, was de volgende stap om over te gaan naar een aankoop van de premium service van de site voor het prinselijke bedrag van twee euro. Vervolgens kregen ze, nadat ze op de knop 'afrekenen' hadden geklikt, de mogelijkheid om met een creditcard of bankoverschrijving te betalen.
Uit noodzaak werd een IBAN-nummer verstrekt samen met de naam van de rekeninghouder, een naam die ook al eerder in het onderzoek was verschenen. Het was niet moeilijk, maar het lijkt effectief te zijn geweest.
IPTV-onderzoek met behulp van meerdere tools
Ten slotte beschrijven de dia's een ander onderzoek, maar aangezien onze controles aangeven dat het platform nog steeds live is, zijn we niet van plan het hier te noemen. In plaats daarvan lopen we gewoon door de stappen.
Met behulp van de domeinnaam van de site gebruikten onderzoekers Viewdns.info om een WHOIS-zoekopdracht uit te voeren om de naam van de domeinregistrant te onthullen. Gewapend met die naam voerden ze een omgekeerde WHOIS-zoekopdracht uit, waarbij andere domeinen worden weergegeven die door dezelfde persoon zijn geregistreerd.
In totaal leverden deze stappen een naam, een e-mailadres, een potentieel fysiek adres en 10 extra domeinen op, meestal verbonden met piraat IPTV-services.
De volgende stap was om het hoofddomein te laden en de bron te bekijken met behulp van een gewone browser. Door in die broncode te zoeken naar de term 'UA-', konden ze de Google Analytics-ID van de site vinden. Door een reverse Google Analytics-zoekopdracht uit te voeren, werden andere sites met dezelfde ID onthuld en verbonden met de eerste site.
Toen was het een kwestie van proberen te betalen voor een abonnement op de eerste site en opmerken dat de betaling door een andere werd verwerkt. Die site werd (en wordt nog steeds) gepresenteerd als een legitiem bedrijf en is als zodanig opgericht als een naamloze vennootschap in het VK.
Alle naamloze vennootschappen in het Verenigd Koninkrijk hebben een notering bij Companies House (een andere geweldige OSINT-bron) en een zoekopdracht daar gaf de naam van de directeur (een vreemdeling), een geboortedatum en een adres in Londen op. De laatste is een bekend virtueel kantoor en de thuisbasis van veel mensen die hun echte adres liever niet opgeven.
Op dit moment onthullen de dia's niet meer, dus het is onduidelijk of het onderzoek daar is geëindigd of nog steeds loopt. De sites in kwestie lijken alleen voor educatieve en entertainmentdoeleinden te zijn, we zullen zien of de zaak kan worden gekraakt met behulp van de ongelooflijke mogelijkheden van Maltego en Spiderfoot.
Met deze tools kunnen gebruikers hun OSINT-query's en -onderzoeken automatiseren, maar zo'n korte beschrijving bewijst hen beiden een enorme slechte dienst. Ze hebben allebei een gratis optie, dus er is geen excuus om ze niet te proberen, bij voorkeur in een virtuele machine en zeker achter een VPN, vooral in het geval van de laatste.
-
1
-
2
Recommended Comments
Join the conversation
You can post now and register later. If you have an account, sign in now to post with your account.