Обнаружен ботнет ProxyCB: более 15 лет эволюции и скрытые атаки на российские сервисы

С конца января 2025 года в инфраструктуре одного из заказчиков специалисты по информационной безопасности зафиксировали необычную автоматизированную активность. Она выражалась в массовых обращениях к российским онлайн-сервисам, причем по своему характеру запросы напоминали работу не разрозненных скриптов, а хорошо скоординированной сети зараженных устройств. Сценарии повторялись, источники постоянно менялись, а сами запросы со временем становились все более похожими на действия реального пользователя. Такая активность требовала пристального анализа, и в ходе расследования выяснилось, что за ней стоит масштабный ботнет, известный как ProxyCB.

Описание

Этот ботнет представляет собой не просто вредоносную программу, а полноценную платформу с клиентским ботом, выделенными каналами управления и передачи данных, веб-панелью и серверным ядром PCBServer 7. Основная цель ProxyCB - использовать зараженные узлы в качестве прокси-серверов для распределенных операций. Примечательно, что данная инфраструктура применялась не только для конкретного заказчика: следы ее активности обнаружены при обращении к почтовым платформам, маркетплейсам, социальным сетям, телеком- и игровым сервисам в России. Операторы, судя по всему, создали универсальную сеть управляемых прокси-узлов, готовую к любым сценариям.

Архитектура ProxyCB заслуживает отдельного внимания. Управляющий канал использует порт 1001, рабочий канал - порт 1002, а веб-панель администрирования доступна на стандартных 80 и 443 портах. Серверное ядро PCBServer 7 работает по собственному бинарному протоколу. Такое разделение говорит о том, что авторы построили не просто канал связи с ботами, а полноценный контур управления инфраструктурой. Для связи с сервером бот использует фиксированные 26-байтные сообщения со строго определенной структурой, что позволяет управлять как отдельными узлами, так и целыми группами. В панели управления реализованы мониторинг активных прокси, группировка по странам, настройка конфигурации, ограничение доступа по IP и даже административный протокол для полного контроля над платформой.

Особый интерес представляет эволюция ProxyCB. Самые ранние образцы датируются 2011 годом. Тогда бот маскировался под программу "Знакомство с Windows" и был ориентирован на Windows XP. В 2012-2013 годах вредонос начали поставлять в связке с ботнетом Virut, что указывает на кооперацию между разными злоумышленниками. К 2016 году ProxyCB уже входил в состав многоступенчатых цепочек заражения вместе с крадущим учетные данные стилером Pony. Наконец, с 2018 года распространились установщики, маскирующиеся под популярный торрент-клиент uTorrent. А наиболее свежие варианты, обнаруженные в 2026 году, демонстрируют переход на язык программирования Node.js. При этом логика самого бота практически не изменилась: он по-прежнему использует те же каналы управления, те же режимы работы (SOCKS4, SOCKS5, HTTP CONNECT, GET, POST) и ту же модель двунаправленного проксирования. [Исследование] показывает, что операторы последовательно совершенствовали только способы доставки и маскировки, оставляя ядро бота неизменным на протяжении многих лет.

Значительная часть образцов ProxyCB распространялась через подставные сайты, имитирующие торрент-трекеры. Отмечены домены tut-torrent[.]ru, windows-rar[.]com, а с 2022 года - torrenta[.]top. Последний до сих пор активен и служит каналом для распространения новых версий вредоноса. Часть дропперов ведет на репозитории на GitHub, где среди легитимных файлов размещены зараженные установщики. Это еще раз подтверждает, что операторы тщательно продумывают инфраструктуру распространения, стараясь выглядеть максимально убедительно.

Связь ProxyCB с известной кибершпионской группой TeamSpy добавляет делу дополнительную глубину. TeamSpy, описанная публично еще в 2013 году, известна использованием легитимного софта для удаленного управления, в частности TeamViewer. В скриптах панели управления ProxyCB обнаружилось упоминание домена mir-modov[.]ru, который ранее использовался TeamSpy для распространения своих вредоносных установщиков. Кроме того, на основном C2-сервере ботнета - домене kilo-torrent[.]org - найдены архивы с инструментарием TeamSpy, замаскированные под клиент uTorrent. Все это позволяет предположить, что ProxyCB мог вырасти из проектов, связанных с TeamSpy, или что операторы этих ботнетов пересекаются.

Какие риски несет ProxyCB? Этот ботнет не нацелен на кражу данных напрямую, но он предоставляет своим операторам мощный инструмент для анонимных атак. Через зараженные узлы можно отправлять спам, проверять украденные учетные записи на различных сервисах, обходить географические блокировки, а также проводить распределенные атаки на отказ в обслуживании. Поскольку каждый зараженный компьютер становится прокси, атакующий может скрывать свой истинный IP-адрес и местоположение. Особую опасность представляет длительная невидимость ботнета: существовать и развиваться более 15 лет, при этом практически не попадая в поле зрения крупных антивирусных компаний, - само по себе тревожный сигнал.

Вывод из этого исследования однозначен: мы имеем дело с зрелым и адаптивным инструментом, который десятилетиями остается в тени. Операторы ProxyCB демонстрируют высокий уровень технической подготовки, постоянно совершенствуют свои методы маскировки и доставки, а также активно используют легитимные сервисы для хранения вредоносных файлов. Компаниям, особенно работающим с чувствительными данными или оказывающим онлайн-услуги в России, стоит обратить внимание на мониторинг нестандартной сетевой активности, особенно на обращения подозрительных IP-адресов к внутренним сервисам. История ProxyCB наглядно показывает, что даже старые, казалось бы, примитивные угрозы могут вернуться в новой обертке и нанести серьезный ущерб.