Исследователи AT&T Alien Labs недавно обнаружили масштабную кампанию угроз, доставляющих приложение прокси-сервера на машины Windows. Компания взимает плату за прокси-сервис с трафика, проходящего через эти машины.
Alien Labs обнаружила компанию, предлагающую услуги прокси-сервиса, в рамках которого прокси-запросы перенаправляются через скомпрометированные системы, превращенные в узлы выхода из жилых помещений в результате проникновения вредоносного ПО. Хотя сайт прокси-сервиса утверждает, что его узлы выхода поступают только от пользователей, которые были проинформированы и дали согласие на использование своего устройства, Alien Labs располагает доказательствами того, что разработчики вредоносных программ бесшумно устанавливают прокси-сервер в зараженные системы. Кроме того, поскольку приложение прокси подписано, оно не обнаруживается антивирусами и остается вне поля зрения компаний, занимающихся вопросами безопасности.
В этой статье мы исследуем резкий рост числа вредоносных программ для Windows, доставляющих одну и ту же полезную нагрузку для создания ботнета из 400 000 прокси-серверов.
- Всего за одну неделю исследователи AT&T Alien Labs обнаружили в природе более тысячи новых образцов вредоносных программ, доставляющих приложение proxy.
- По данным сайта прокси-сервера, существует более 400 тыс. узлов выхода из прокси-сервера, и неясно, сколько из них было установлено с помощью вредоносного ПО.
- Приложение тихо устанавливается вредоносным ПО на зараженные машины без ведома и взаимодействия с пользователем.
- Приложение прокси подписано и имеет нулевую антивирусную защиту.
- Прокси написан на языке программирования Go и распространяется вредоносным ПО как на Windows, так и на macOS.
Indicators of Compromise
Domains
- bapp.digitalpulsedata.com
SHA256
- 0ca119c7be4ec67355b47d8d197361e730d93153a87d09e00a68ceda340fabb0
- 0e364d219192854032767476173c91c3d61230990597b52e5c36ebadd0fd96d8
- 153de6a7d78bcce8a0cec446cdc20ec4b18ee72b74f59e76780ec5c76efddc52
- 1cff1d3a10cc36338803e37cc3c9e9121bdd8c5189ca4533d1c585715561bc4a
- 2b79d98043030645f27bd1b061ffa27eab19462dff356e6b4a89bb1d3c9bf02d
- 331cf0f8049fc0e68e8bd75f8efed629b41459425a971cbcec53485ba2bf4521
- 33585aed3e7c4387a3512b93612932718e9dff2358867ba8c4ad1e8073bbce31
- 3aaaa01bdd20981fdc94d52c5ac0ed762a124b0a08c22d760ab7e43554ee84dd
- 3ff5e3932ba4a438c12c253ec6b00416ac6ce250173bac6be0bb8d619cea47bd
- 417cf3f959e1040ffe13fcf21691b05ea96da5849010b0a4d17c6cecbeaef621
- 424d35bc945ea2deda177b46978bbb45af74109a988450ea4ed5fe16c1f629f9
- 42ae669786b19556de65eeb1c45ec4685016b69384c21f3bbc30aaf2cddb2126
- 518bc3b96a97a573c61934ff65cc284c3e5545c7823318918a7cb05cbb5518b1
- 530e59f9bd99b191b54ec18eb92d6b44005e56c1dd877b4e4ce0370d3d917fb4
- 5324f5aae565ddc8dc2a4b574bc690cba6b35bd4bf3f63e6df14d613b68ac769
- 550c4839f26bf81f480c5e4210be3ded43d4f8027d5d689a6fe8692c42235940
- 5a11065473b9a1e47d256d8737c2952da1293f858fc399157ab34bbaadff6cb8
- 611ce42b0866c085d751c579f00b9e76c412a7d1e1ebcf998be6b666edc22416
- 65a9895f5e49f8e18727fe16744c6631c0676e08499f4407b9d8c11634aae5e0
- 6c3f24ff26c5d2f16ae6aa8842e97d402c2e203d0aa2798a40f4dc000554dbca
- 7926a84dcb6ffbe93893477f7f3ad52516cfedf8def5c43686dd6737926146a7
- 7a33d3f5ca81cdcfe5c38f9a4e5bbf3f900aa8f376693957261cdbe21832c110
- 801ecf29bee98e3b942de85e08ec227373a15b0a253c9c3eb870af33709f3d8d
- 8505c4c3d6406cc55a9492cf1a3285de9c0357691112b2ab787faa57d55d304b
- 9a416904a4d942c77177770ea0680c48e5d5eddba793af3c434e4ff733daab56
- a10d023b10b878a09697563155799bd088ed2f797aff489b732959f917414f97
- aad7a088f309c1e0671f327db2428a470c14d08d5f6489fcb628071d2361b6a7
- aeeccab5b4712f4c7d75c0606fc4587f13df7a04aa4941bb6599f328ee67d950
- b0692f201e6dfdbe1b920849a31f2b9fb73db19779fdb77c660c28fa22b70a38
- c202911529293052006fa6bc6a87c66bbd5621738190dbd75a5b3a150fed5c41
- cba34f77ca2a5d4dc56f4567ff1f0b2242105d532353d2868d7b2c42f1a37551
- cc3cbc8ad7f71223230a457aa2664d77b43b7f7a4988b42609ad707f0385aee3
- dad35cdd6213381cc350688f6c287f4f3e1192526f78b9b62779acc4b03495f9
- db115eff8d8b013e89f398b922294b248d5d6be51d7ab60cbde3b6ff2ff3f219
- de97da00ed54a1f021019852a23b50c82408ab7a71dc0f3e6fef3680ac884842
- e07aa2d15520c6f0ab9bbbe049f48402e4b91fde59b22b5668daef2ec924a68b
- e79c37dc791d1bdb01524d158421efa29dcebde250f7571e9e30714496b3c06f
- f22452a13635e4651b51c1491312a74891ca1dcd1b5072cbb978c06dc0a560ca