Kommentare zu folgendem Beitrag: Malware as a Service (MaaS) im Darknet: Hintergründe und Bedrohungen
Email-Bestätigung-as-a-Service!!
(…passt sehr gut zu → Malware-as-a-Service!) 
Einer der teuersten Aspekte jeder Cyberkriminalität ist der Zeit- und Arbeitsaufwand, der für die ständige Erstellung großer Mengen neuer Wegwerf-E-Mail-Konten erforderlich ist. Jetzt bietet ein neuer Dienst die Möglichkeit, die mit groß angelegten Spam- und Kontoerstellungskampagnen verbundenen Kosten drastisch zu senken, indem er Menschen für den Verkauf ihrer E-Mail-Kontodaten bezahlt und Kunden vorübergehend den Zugang zu einem riesigen Pool etablierter Konten bei großen Anbietern mietet.
Der betreffende Dienst – kopeechka[.]store – lässt sich vielleicht am besten als eine Art unidirektionaler E-Mail-Bestätigungs-as-a-Service beschreiben, der verspricht, „Zeit und Geld für die erfolgreiche Registrierung mehrerer Konten zu sparen“.
Als Kunde dieses Dienstes erhälst du keinen vollständigen Zugriff auf die von dir gemieteten E-Mail-Postfächer. Stattdessen konfigurierst du dein Botnetz oder deine Spam-Maschine so, dass ein automatisierter API-Aufruf (Application Programming Interface) an den Kopeechka-Dienst erfolgt, der mit einer funktionierenden E-Mail-Adresse bei einem E-Mail-Anbieter deiner Wahl antwortet.
Sobald du die angegebene E-Mail-Adresse auf der Seite zur Registrierung eines neuen Kontos auf einer Website oder einem Dienst eingegeben hast, teilst du Kopeechka mit, von welchem Dienst oder welcher Website du einen Kontobestätigungslink erwartest, und alle neuen Nachrichten, die dieser Beschreibung entsprechen, werden dann an Kopeechka weitergeleitet in deinen Kopeechka-Kontobereich.
Indem sichergestellt wird, dass Kunden über den Dienst gemietete Posteingänge nicht kontrollieren können, kann Kopeechka dieselbe E-Mail-Adresse an mehrere Kunden vermieten (zumindest bis diese E-Mail-Adresse zur Registrierung von Konten bei den meisten großen Online-Diensten verwendet wurde).
Kopeechka verfügt außerdem über mehrere Partnerprogramme, darunter eines, das App-Entwickler für die Einbettung der Kopeechka-API in ihre Software bezahlt. Weitaus interessanter ist jedoch ihr Programm zur Belohnung von Personen, die sich dafür entscheiden, Kopeechka-Benutzernamen und Passwörter für funktionierende E-Mail-Adressen zu verkaufen.
Kopeechka bedeutet auf Russisch „Penny“, was eine großzügige Ausdrucksweise (und Prägung) für einen Dienst ist, der für den Zugriff auf Kontobestätigungslinks einen winzigen Bruchteil eines Pennys verlangt. Ihre Preise schwanken geringfügig, je nachdem, welchen E-Mail-Anbieter du wählst. In einem Formular auf der Homepage des Dienstes heißt es jedoch, dass eine einzelne Bestätigungsnachricht von apple.com an outlook.com 0,07 Rubel kostet, was derzeit etwa 0,00087 US-Dollar entspricht…!!
Du musst nicht lange nach Beispielen für Kopeechka in Aktion suchen. Ein bekannter russischer Profi-Spammer mit Namen„ Quotpw “ ,hat vor Kurzem massenhaft Konten im Social-Media-Netzwerk Mastodon registrierte, um eine Reihe riesiger Spam-Kampagnen durchzuführen, mit denen betrügerische Kryptowährungs-Investitionsplattformen beworben wurden.
Der Stoff für diese Geschichte kam größtenteils von Renaud Chaput , einem freiberuflichen Programmierer, der an der Modernisierung und Skalierung der Infrastruktur des Mastodon-Projekts arbeitet – einschließlich joinmastodon.org, mastodon.online und mastodon.social. Chaput teilte KrebsOnSecurity mit, dass sein Team letzten Monat gezwungen war, alle Neuregistrierungen für diese Communities vorübergehend zu stoppen, nachdem die Zahl der Neuregistrierungen aus der Spam-Kampagne von Quotpw ihre Systeme zu überfordern begann.
„Wir sind plötzlich von etwa drei Registrierungen pro Minute auf 900 pro Minute gestiegen“, sagte Chaput. „In der Mastodon-Software gab es nichts, um diese Aktivität zu erkennen, und das Protokoll ist nicht darauf ausgelegt, damit umzugehen.“
Nachdem diese Geschichte veröffentlicht wurde, sagte Chaput, er habe herausgefunden, dass der Computercode, der das Spam-Botnetz von Quotpw antreibt (das inzwischen als Open Source veröffentlicht wurde), einen API-Aufruf an den Dienst von Kopeechka enthielt.
„Es ermöglicht dir, viele von Bots erstellte oder kompromittierte E-Mails bei verschiedenen Anbietern zu bündeln und sie Cyberkriminellen anzubieten“, sagte Chaput über Kopeechka. „Damit haben sie beim Spam-Versand auf Mastodon Tausende von gültigen Hotmail- (und anderen) Adressen erstellt. Wenn Sie sich den Code ansehen, ist er wirklich gut gemacht mit einer netten API, die Ihnen den Bestätigungslink weiterleitet, den Sie dann mit Ihrem Botnetz vortäuschen können.“
Es ist unwahrscheinlich, dass irgendjemand mit dem Verkauf von E-Mail-Konten an Kopeechka ernsthaftes Geld verdienen wird, es sei denn, diese Person betreibt bereits zufällig ein Botnetz und hat Zugriff auf eine hohe Anzahl von E-Mail-Anmeldeinformationen. Und in diesem Sinne ist dieser Service genial: Er bietet Betrügern im Grunde eine neue Möglichkeit, zusätzliches Einkommen aus Ressourcen zu erwirtschaften, die ihnen bereits im Überfluss zur Verfügung stehen.
Nach Angaben des FBI übertrafen die finanziellen Verluste durch Kryptowährungsinvestitionsbetrug im Jahr 2022 die Verluste aller anderen Arten von Cyberkriminalität und stiegen von 907 Millionen US-Dollar im Jahr 2021 auf 2,57 Milliarden US-Dollar im letzten Jahr.