Как киберпреступники создают прокси-сети из VPS: расследование Lumen Technologies, ботнет SystemBC и его особенности

Киберпреступники всё чаще захватывают виртуальные частные серверы (VPS), превращая их в мощные прокси-сети для вредоносных операций. Эксперты из Black Lotus Labs при компании Lumen Technologies недавно рассказали о деятельности ботнета SystemBC, который работает с начала 2019 года. За это время ему удалось собрать более 80 серверов командного управления и поддерживать в среднем 1 500 активных заражённых устройств ежедневно.

Главная особенность этого ботнета — почти 80% заражённых систем — это именно VPS. Обычно подобные сети собирают свои «боты» из домашних устройств вроде компьютеров, роутеров, устройств «умного дома», видеорегистраторов и камер. Но SystemBC действует иначе: злоумышленники атакуют серверы, в которых часто обнаруживаются десятки и даже сотни неустранённых уязвимостей в программном обеспечении.

Исследования показали: в среднем на каждом заражённом сервере находится около 20 не закрытых уязвимостей CVE (Common Vulnerabilities and Exposures), и как минимум одна из них — критическая. Например, на одном из адресов эксперты нашли свыше 160 «дыр» безопасности. Неудивительно, что такие серверы легко становятся жертвами злоумышленников.

Далее эти VPS используются как промежуточные прокси — через них прокачиваются гигантские объёмы вредоносного трафика. Это помогает преступникам запускать масштабные кампании по фишингу, проведение атак методом подбора паролей (brute-force), атаки рансомваре (вымогатели) и прочие аферы.

Проблема усугубляется тем, что многие заражённые VPS продолжают работать неделями, а 40% остаются под контролем ботнета больше месяца. У VPS есть ряд существенных преимуществ для преступников: высокая пропускная способность, долгое время заражения (серверы не так быстро выявляют и чистят, как домашние устройства), а для пользователей это зачастую проходит незаметно. Такие прокси, к примеру REM Proxy или VN5Socks, сдаются в аренду другим группам, в том числе операторам рансомваре вроде AvosLocker или Morpheus.

Интересно, что операторы SystemBC даже не пытаются быть незаметными: их «боты» ежедневно создают гигабайты трафика, быстро попадали в чёрные списки, но всё равно продолжали работу в огромных сетях-прокси.

Компания Lumen заблокировала весь трафик, связанный с инфраструктурой SystemBC, внутри своей глобальной сети, а для специалистов по кибербезопасности опубликовала технические признаки атаки (индикаторы компрометации), чтобы помочь в обнаружении и защите.