Новая ботнет-сеть атаковала более 1300 серверов в облачной инфраструктуре по всему миру

Обнаружить сеть помогла плановая проверка командно-контрольных серверов (C2-серверов). Так называют узлы, через которые операторы отдают команды заражённому программному обеспечению. Автоматическая система анализа заметила необычную картину. Неизвестные программы не принимали команды от узлов популярной вредоносной программы Silver Fox, а сами обращались к ним с запросами. Такое поведение нетипично. Обычно вредоносная программа подчиняется управляющему узлу, а не атакует его. В данном случае одна автоматизированная система целенаправленно подбирала доступ к серверам другой.

По данным 360, вредоносная программа маскировалась под служебные утилиты командной строки и под клиент защиты рабочих станций. Свой трафик она шифровала собственным алгоритмом, поэтому со стороны соединения выглядят безобидно. Кроме того, образец поддерживает несколько операционных систем и умеет распространяться без участия человека. Функционал у него широкий: он собирает сведения о заражённом узле, получает задания и постоянно удерживает связь с центром. При проверке через публичный сервис многофайлового анализа ни один антивирусный движок не пометил образцы как опасные. Один из них вообще отсутствовал в базах.

Основной способ захвата чужих машин - перебор учётных данных. Злоумышленники не ищут ошибки в коде, а подбирают логины и пароли к серверам. При этом используется распыление паролей. Небольшой набор самых популярных паролей пробуют на множестве учётных записей. Такой приём снижает риск блокировки. Атака охватывает 13 сетевых протоколов, поэтому под удар попадают разнородные службы. Главная цель - протокол управления веб-службами, широко применяемый в корпоративной среде Windows. Через него администраторы удалённо настраивают серверы. Следовательно, доступ к этому протоколу особенно ценен для атакующих.

Архитектура сети трёхуровневая. Нижний уровень собирает данные, средний передаёт задания, верхний хранит управляющие команды. Такая схема распределяет нагрузку и затрудняет поиск центра. Именно поэтому сеть долго оставалась незамеченной. По характеру кода видно, что значительную часть компонентов создала автоматика. Речь идёт о программном обеспечении, написанном с помощью систем искусственного интеллекта. Подобный подход ускоряет разработку вредоносных инструментов и снижает требования к подготовке авторов. Кроме того, он позволяет быстро менять тактику под ответные действия защитных средств.

Разбор образцов тоже провела автоматизированная система. Она сопоставила данные журналов, восстановила логику шифрования и получила управляющие команды. Затем она прошла цепочку в обе стороны. Вверх - к инструментам и сценариям развёртывания. Вниз - к полезной нагрузке, то есть к тому, что программа должна была делать на заражённых машинах. Попутно система нашла ответвление: сборщик для Linux. Работу вели с опорой на открытую китайскую языковую модель GLM-5.3. Тем не менее право на активные действия автоматике не дали. Полный отчёт и рекомендации по блокировке передали людям. Такой порядок снижает риск ошибки, которая могла бы задеть чужие системы.

Последствия для бизнеса зависят от того, что находится на сервере. Захват узла в облаке открывает доступ к данным компании, к внутренним сервисам и к учётным записям сотрудников. Далее возможно развитие атаки внутри сети: от одного сервера к другим. Для облачных операторов массовый подбор паролей означает дополнительную нагрузку и репутационные риски. Для клиентов - угрозу утечки информации и простоя сервисов. В отдельных случаях простой измеряется часами, в других - днями.

Отдельного внимания заслуживает симметрия сторон. Нападающая сеть написана автоматикой, а выявила её тоже автоматика. В результате скорость реакции перестаёт зависеть от числа людей в смене. Однако человек по-прежнему принимает решения о блокировке. Помимо этого, автоматический анализ помогает отсеивать ложные тревоги и находить пропущенные срабатывания. Тем самым нагрузка на операторов снижается, а качество разбора растёт.

Атаки становятся автоматизированными, и защита развивается по тому же пути. Риски организаций связаны прежде всего со слабыми и повторно используемыми паролями. Помогают длинные уникальные пароли, двухфакторная аутентификация и ограничение доступа к служебным протоколам. Полезно следить за всплесками неудачных входов и разделять сеть на изолированные участки. Облачным клиентам стоит проверить правила доступа, заданные по умолчанию. Если перечисленные меры внедрены, массовый подбор учётных данных теряет эффективность. Ранняя стадия развития сети оставляет время, чтобы закрыть эти пробелы.