Nektarios Leontiadis (CMU/EPP/CyLab) leontiadis@cmu.edu - PowerPoint PPT Presentation

Nektarios ¡Leontiadis ¡(CMU/EPP/CyLab) ¡ ¡leontiadis@cmu.edu ¡ ¡ Joint ¡work ¡with ¡Nicolas ¡Christin ¡(CMU) ¡and ¡Tyler ¡Moore ¡(Harvard) ¡

 Online ¡crime ¡  Emergence ¡of ¡complex ¡supply ¡chains ¡  Understanding ¡economics ¡is ¡key ¡to ¡combat ¡it ¡  Why ¡focus ¡on ¡drugs? ¡  What ¡about ¡counterfeit ¡software, ¡fake ¡watches…? ¡  Most ¡dangerous ¡form ¡of ¡online ¡crime ¡ ▪ Wrong ¡dosage ¡can ¡kill, ¡cf. ¡Ryan ¡Haight ¡  Method ¡of ¡exposure ¡  Revealing ¡interesting ¡insights ¡about ¡the ¡mechanics ¡of ¡ the ¡illicit ¡trade ¡ 2 ¡

Email ¡spamming ¡has ¡been ¡the ¡key ¡tool ¡for ¡a ¡long ¡time ¡ More ¡recently: ¡social ¡network ¡spam ¡(e.g. ¡Twitter) ¡and ¡blog ¡spam ¡ Very ¡low ¡conversion ¡rate* ¡ (about ¡1 ¡purchase ¡every ¡10 ¡ Search ¡engine ¡manipulation ¡ million ¡emails ¡sent) ¡ Better ¡conversion ¡rate* ¡ (0.13%) ¡ Unsolicited ¡ ¡ Targeted ¡to ¡users ¡looking ¡for ¡a ¡ Posting ¡malicious ¡links ¡via ¡ product ¡ compromised ¡accounts ¡ Probably ¡better ¡conversion ¡ Exploiting ¡trust ¡we ¡have ¡to ¡our ¡ rates ¡ online ¡friends ¡ *Ratio ¡of ¡realized ¡sales ¡over ¡the ¡ number ¡of ¡emails/clicks ¡ 3 ¡

4 ¡

Bob ¡runs ¡a ¡query ¡on ¡Google ¡ (e.g. ¡no ¡prescription ¡cialis) ¡ Results ¡will ¡include ¡infected ¡ websites ¡ Clicking ¡on ¡an ¡infected ¡ result ¡triggers ¡injected ¡ code ¡at ¡the ¡infected ¡ web ¡server ¡ One ¡or ¡more ¡HTTP ¡ 302 ¡redirections ¡occur ¡ Bob ¡lands ¡on ¡an ¡online ¡pharmacy ¡ store ¡ 5 ¡

Code ¡is ¡injected ¡which ¡alters ¡ Exploitation ¡of ¡popular ¡ the ¡behavior ¡of ¡the ¡web ¡ Web ¡applications’ ¡ vulnerabilities ¡and ¡ server ¡based ¡on ¡the ¡ hosting ¡platforms ¡ parameters ¡of ¡the ¡request: ¡ Bluehost ¡ Generic ¡traffic ¡ Requests ¡from ¡ search ¡engine ¡ WordPress ¡ crawlers ¡(User-­‑ Agent) ¡ Requests ¡coming ¡ from ¡a ¡search ¡ … ¡ engine ¡results ¡ page ¡(referrer) ¡ 6 ¡

Query ¡ Source ¡ Online ¡ Redirector(s) ¡ executed ¡ infection(s) ¡ pharmacies ¡ securetabsonline.com ¡ 302 ! best-­‑online-­‑cialis-­‑ 302 ! store.com ¡ cs. umass .edu ¡ stat-­‑center.com ¡ generictab.com ¡ no ¡prescription ¡cialis ¡ sylvan.k12.ca.us ¡ genericrxpharma.com ¡ … ¡ 7 ¡

1. Experimental ¡methodology ¡ 2. Effect ¡of ¡search-­‑redirection ¡attacks ¡on ¡ search ¡results ¡ 3. Delving ¡into ¡the ¡RX ¡network ¡ 4. Sketching ¡conversion ¡rates ¡ 8 ¡

Identify ¡all ¡results ¡that ¡ Run ¡218 ¡drug ¡related ¡ Collect ¡top ¡64 ¡search ¡ Follow ¡all ¡infected ¡ perform ¡automated ¡ queries ¡daily. ¡ results ¡from ¡Google ¡ results ¡ redirection ¡ • Daily ¡collection ¡from ¡ • The ¡limit ¡is ¡defined ¡by ¡ • A ¡search ¡result ¡defines ¡ • Follow ¡each ¡result ¡ 4/12/2010. ¡ Google ¡Search ¡API ¡ the ¡website ¡that ¡a ¡user ¡ identified ¡as ¡infected ¡ will ¡be ¡redirected ¡to ¡when ¡ from ¡previous ¡step ¡ • Using ¡data ¡until ¡ • Storing ¡all ¡results ¡ ¡for ¡ clicking ¡on ¡the ¡link ¡ 10/21/2010. ¡ later ¡processing ¡ • Follow ¡all ¡redirections ¡ • If ¡the ¡browser ¡is ¡ that ¡might ¡occur ¡ • Complemented ¡by ¡a ¡ • Will ¡also ¡examine ¡position ¡ redirected ¡instead ¡to ¡a ¡ second ¡10-­‑week ¡dataset ¡ information ¡ • Record ¡all ¡the ¡redirection ¡ different ¡website ¡ information ¡ • Collection ¡process ¡is ¡still ¡ (domain), ¡the ¡result ¡is ¡ running. ¡ infected. ¡ 9 ¡

vicodin ¡no ¡prescription ¡ vicodin ¡without ¡prescription ¡ cheap ¡valium ¡non ¡prescription ¡ generic ¡cialis ¡free ¡sample ¡ buy ¡ativan ¡online ¡injecting ¡pills ¡ cheap ¡tadalafil ¡ buy ¡xanax ¡valium ¡online ¡florida ¡ 20 ¡mg ¡ambien ¡overdose ¡ order ¡vicodin ¡si ¡levitra ¡online ¡ prozac ¡side ¡effects ¡ buy ¡xanax ¡valium ¡online ¡florida ¡ ambien ¡buy ¡online ¡ color ¡of ¡adipex ¡pills ¡safest ¡place ¡to ¡buy ¡online ¡ alprazolam ¡online ¡without ¡prescription ¡buy ¡cheap ¡ 10 ¡

URI ¡(number) ! URI ¡(%) ! Domains ¡(#) ! Domains ¡(%) ! ! ! ! ! Source ¡ 73909 ! 53.8 ! 4652 ! 20.2 ! infections ! ¡ ¡ ¡ ¡ ¡ ¡ ¡Active ! 44503 ! 32.4 ! 2907 ! 12.6 ! ¡ ¡ ¡ ¡ ¡ ¡ ¡Inactive ! 29406 ! 21.4 ! 1745 ! 7.6 ! Health ¡ 1817 ! 1.3 ! 422 ! 1.8 ! resources ! Pharmacies ! 4348 ! 3.2 ! 2138 ! 9.3 ! ¡ ¡ ¡ ¡ ¡Legitimate ! 12 ! 0.01 ! 9 ! 0.04 ! ¡ ¡ ¡ ¡ ¡Illicit ! 4336 ! 3.2 ! 2129 ! 9.2 ! Blog/forum ¡ 41335 ! 30.1 ! 8064 ! 34.9 ! spam ! Uncategorized ! 15945 ! 11.6 ! 7766 ! 33.7 ! Total ! 137354 ! 100 ! 23042 ! 100 ! ! ! ! ! ! 11 ¡

Classification by position in search results 1 2 3 search − redirection position in search results 4 attack (active) search − redirection 5 attack (inactive) 6 blog/forum spam 7 illicit pharmacies 8 9 health resources 10 other 1 − 10 11 − 32 33 − 64 0 20 40 60 80 100 % results with classification at position y 12 ¡

Avg. daily domains in search results 1400 infections blog/forum spam illicit pharmacies 1200 health resources Search ¡ redirection ¡ 1000 attack ¡is ¡rising ! # Domains 800 Blog ¡spam ¡is ¡ 600 declining ! 400 200 0 May Jun Jul Aug Sep Oct Nov Dec Jan Date 13 ¡

Survival function for search results (PageRank) Survival function for search results (TLD) 1.0 1.0 all all 95% CI 95% CI PR>=7 .COM 0<PR<7 .ORG 0.8 0.8 PR=0 .EDU .NET other 0.6 0.6 S(t) S(t) 0.4 0.4 0.2 0.2 0 50 100 150 200 0 50 100 150 200 t days source infection remains in search results t days source infection remains in search results .edu ¡sites ¡particularly ¡attractive, ¡as ¡well ¡as ¡high ¡PageRank ¡sites ¡(often ¡sites ¡fall ¡in ¡ both ¡categories) ! 14 ¡

Pharmacy ¡ Redirector ¡ Search ¡ (freerx.com) ! (attacker.com) ! result ¡ (hacked.edu) ! Other ¡ Search ¡ pharmacy ¡ Redirector ¡ result ¡ (cheaprx.com) ! (1337.com) ! (pwned.com) ! Connected ¡components ¡in ¡the ¡graph ¡evidence ¡“some” ¡level ¡of ¡business ¡relationships ¡ between ¡the ¡nodes ¡they ¡connect ¡ ¡ 15 ¡

 34 ¡connected ¡components ¡  One ¡connected ¡component ¡ ¡ ¡ ¡ ¡ ¡ ¡contains ¡ ¡  96% ¡of ¡all ¡infected ¡domains ¡  90% ¡of ¡all ¡redirection ¡domains ¡  92% ¡of ¡all ¡pharmacies ¡  Is ¡one ¡person ¡responsible ¡for ¡all ¡of ¡this?! ¡  Not ¡necessarily, ¡but ¡evidence ¡of ¡partner ¡relationships ! 16 ¡