Инфраструктуру, которую прячут, находят поиском. За неделю с 26 октября по 1 ноября исследователи насчитали в мировом интернете 144 сервера управления. Это машины, с которых операторы отдают команды вредоносному ПО и забирают данные с заражённых устройств. Больше всего среди них Cobalt Strike - 73 адреса.
Описание
При этом держат её не в подпольных дата-центрах. Адреса из списка принадлежат крупным облачным провайдерам, среди них Amazon, DigitalOcean и Alibaba. Арендованная виртуалка не выделяет оператора среди тысяч других клиентов. Зато упрощает поиск: панель ничем не отличается от любого другого сервиса, выставленного наружу. По данным исследователей, найти её можно обычным поиском по открытым сервисам интернета. Речь о поисковике Censys - он индексирует отклики серверов по всему миру, и пользуется им кто угодно. География широкая: в списке есть адреса из США, Германии, Сингапура и Румынии.
Внутри цепочки такой сервер - узел, через который оператор отправляет команды программе на заражённой машине. Пока узел доступен, цепочка работает. После блокировки агенты теряют связь, и атака распадается. Однако открытая панель - зацепка и для защитников: по адресу можно найти соседние узлы той же кампании. Владельцу заражённой машины это даёт немного - чужой сервер в интернете для него ничего не меняет. Правда, запись в списке не доказывает, что с этой машины кого-то атаковали. Зато показывает, где искать: адреса подсказывают, какие сети операторы считают удобными.
Кроме Cobalt Strike, в списке много ARTEX - 24 адреса. Следом идут Mythic и Sliver. У Mythic 11 машин, у Sliver - 10. Havoc и Cairn встречаются реже, SuperShell и Empire - совсем мало. Пометки в отчёте не всегда однозначны: две машины числятся сразу за двумя каркасами, то есть на одном сервере уживаются две панели. Список отслеживаемых средств шире итоговой таблицы - в него входил и NimPlant.
Ещё одна строка отчёта - четыре адреса, помеченные как серверы управления для эксплуатации iOS. Мобильная атака собирается из цепочки средств, и у неё тоже есть свой пункт управления. Значит, такие узлы держат не только под настольные системы. Без сервера цепочка эксплуатации не работает, так что в поле зрения попали и мобильные кампании. Впрочем, четыре адреса не говорят ни о числе атак, ни об их успехе.
Рядом с каркасами в отчёте стоит один evilginx. Это обратный прокси: он подставляет вместо страницы входа её копию и перехватывает логины вместе с сессиями. Его панель тоже была видна из интернета. Один адрес - не тенденция. Зато он показывает, что в выборку попадают и промежуточные звенья фишинга, а не только средства управления машинами.
Впрочем, исправления здесь не будет. Речь не о продукте с уязвимостью, которую закрывает вендор, а о чужой инфраструктуре. Список - снимок за одну неделю, и следующая даст другой набор адресов. Блокировка по адресу работает, пока сервер не переехал на новую машину, а переезд для оператора - обычная процедура. Снимать такие машины приходится провайдеру, и делает он это по жалобе. Вдобавок в выборку попали только те серверы, что отвечают из интернета: сколько узлов закрыто фильтрами, отчёт не говорит.
Сам по себе отчёт не говорит, кто стоял за этими машинами. Зато показывает привычку: инфраструктуру разворачивают на арендованных серверах, рядом с чужими сайтами и сервисами.
Индикаторы компрометации
