El FBI ha compartido una lista con 42.000 dominios de phishing asociados a la plataforma de ciberdelincuencia LabHost, que fue desmantelada en abril de 2024. Esta plataforma era parte del mercado de PhaaS (Phishing as a Service), un modelo que permite a actores maliciosos acceder a herramientas y servicios para realizar ataques de phishing.
LabHost: una plataforma PhaaS destacada
LabHost ofrecía acceso a kits de phishing dirigidos principalmente a bancos estadounidenses y canadienses, con precios que oscilaban entre 179 y 300 dólares al mes. La plataforma permitía personalizar los ataques, incluir mecanismos avanzados para eludir la autenticación de dos factores (2FA), interactuar automáticamente con las víctimas mediante SMS y gestionar campañas en tiempo real a través de un panel de control.
El servicio se lanzó en 2021, pero alcanzó su punto máximo de popularidad y volumen de ataques hacia finales de 2023 o principios de 2024. En ese momento, LabHost era uno de los principales actores del mercado de PhaaS, superando a otras entidades establecidas.
Impacto de LabHost
Se estima que LabHost ha robado más de un millón de credenciales de usuarios y casi 500.000 registros de tarjetas de crédito. La plataforma contaba con 10.000 clientes en todo el mundo al momento del desmantelamiento, en abril de 2024.
La operación policial global que condujo a su incautación fue respaldada por investigaciones en 19 países y incluyó búsquedas simultáneas en 70 direcciones. Durante estas acciones, se arrestaron a 37 personas sospechosas de tener vínculos con LabHost.
Validez y uso de la lista
Aunque el desmantelamiento de LabHost ha terminado y es poco probable que los dominios compartidos se utilicen actualmente en operaciones maliciosas, aún conservan un valor significativo para las empresas y profesionales de ciberseguridad.
La lista puede utilizarse como herramienta para crear listas de bloqueo, mitigar el riesgo de que actores de amenazas reciclen o vuelvan a registrar algunos dominios en futuros ataques. También permite analizar retrospectivamente registros desde noviembre de 2021 hasta abril de 2024 con el fin de detectar conexiones anteriores y identificar brechas no detectadas previamente.
Además, la lista puede ayudar a los profesionales de ciberseguridad a analizar patrones de dominio en plataformas PhaaS, facilitar la atribución y correlación de inteligencia, así como proporcionar datos realistas para el entrenamiento de modelos de detección de phishing.
El FBI ha advertido que la lista no ha sido validada y puede contener errores. La información es de carácter histórico, y es posible que algunos dominios ya no sean maliciosos en la actualidad. El análisis de esta lista podría revelar otros dominios vinculados a la misma infraestructura, por lo que podría no ser exhaustiva.