Whois histórico: Whois.ws y Domain Tools

Esta semana pasada, la noticia que más me ha llamado la atención ha sido la investigación de Krebs on Security en la que ponía de manifiesto quién estaba detrás de OSX/Flashback, el malware que más equipos Mac OS X ha infectado de la historia y que tambaleó a la propia Apple. Por supuesto, después de esto, Apple ya no se atrevió a dar "aquellos" mensajes de seguridad en Mac OS X.

En la investigación, Krebs utiliza técnicas OSINT para localizar al creador del malware, comenzando por un mensaje en un foro de BlackSEO en el que presumia de ser el creador de dicho malware y en su perfil del foro anunciaba un sitio web llamado mavook.com. Y ahí la cagó el delincuente.

Figura 1: En el foro de BlackSEO de define como "Creator of FlashBack botnet for Macs"

A partir de ese dominio, Krebs utilizó un servicio de Whois histórico para encontrar quién fue el primero que registró ese dominio, y sacó un nombre y un correo electrónico. El resto fue tirar del hilo para sacar perfiles de Facebook, cuentas de Skype, otros correos electrónicos, otras webs, y acabar poniendo nombre, apellidos, edad y lugar dónde vivía y trabajaba el creador de la botnet.

La clave de la investigación fue el servicio de Whois histórico, pues a pesar de que tenía todos los datos ocultos a día de hoy - así aparecen en la base de datos actualmente - Domain Tools provee un servicio donde se encuentra la historia de todos los cambios de ese registro. El servicio es de pago, pero como demuestra este artículo merece la pena.

He estado buscando por Internet a ver si había otros servicios similares de Whois histórico, y lo único que he encontrado ha sido el servicio de Whois.ws, que tiene "algo" de la información histórica de los dominios, como se puede ver en este caso con Apple.com

Figura 2: Izquierda registro en 2009 a la derecha registro en 2013

Ahí también se pueden ver cosas como qué sucedió con los dominios ocupados, como en el caso de Applecom.com, donde antes de pasar a estar protegido por la compañía Apple, estuvo ocupado por otra empresa con no-sé-deciros-qué-fines.

Figura 3: Izquierda registro de 2009 de Applecom.com a la derecha el registro actual de 2012

Si conocéis algún servicio similar que provee Whois histórico, os agradeceré la información, si no, creo que voy a sacarme la cuenta premium, que merece la pena.

Saludos Malignos!