В начале сентября 2023 года на форуме BlackHatWorld появилось сообщение от пользователя ipmakers, рекламирующее новый прокси-сервис IPCola. Сервис обещал миллионы активных IP-адресов, полученных из глобальной сети IoT-устройств, настольных компьютеров и мобильных устройств. Отсутствие бесплатного тестового периода объяснялось уникальностью и новизной пула адресов. Подобная формулировка сразу привлекла внимание специалистов по информационной безопасности, заставив задуматься о методах сбора этих IP.
Описание
IPCola позиционируется как прокси-провайдер без обязательной верификации личности (KYC). Любой желающий может зарегистрироваться, внести криптовалюту и немедленно начать использовать прокси без каких-либо ограничений. Платформа предлагает три типа прокси: резидентные ротируемые, ISP-прокси и дата-центровые. Первые востребованы для автоматизированного сбора данных, регистрации аккаунтов и перебора учётных записей. Вторые используются в ботах для социальных сетей и скупки товаров, а третьи - для задач, где качество IP не имеет значения, но требуется высокая пропускная способность.
Шлюз IPCola находится по адресу proxy.hideiqxshlgvjk[.]com:5050, который резолвится в IP 43.198.58[.]153. При обратном DNS-запросе через VirusTotal был обнаружен домен gtxvdqvuweqs[.]com, указывающий на адрес 16.162.201[.]176. К этому же хосту привязан домен gaganode[.]com. Интерфейсы обеих платформ оказались практически идентичны, что указывает на тесную взаимосвязь между IPCola и сервисом Gaganode.
Gaganode представляет собой децентрализованную платформу для монетизации пропускной способности. Пользователи (издатели) могут устанавливать специализированное программное обеспечение на свои устройства или встраивать SDK в приложения, чтобы зарабатывать криптовалюту за предоставление трафика. Подобные схемы не новы: IPIDEA владеет PacketShare, IPRoyal - Pawns, а DataImpulse - TraffMonetizer. Однако Gaganode выделяется наличием функций, которые скорее характерны для ботнетов, чем для легитимных SDK.
После регистрации издатель выбирает платформу и настраивает приложение для маршрутизации пользовательского трафика через Gaganode. SDK поддерживает большинство операционных систем и архитектур, включая низкоуровневые IoT-устройства - например, роутеры. В панели управления Gaganode администраторы видят информацию о каждом подключённом узле и, что наиболее тревожно, могут удалённо отправлять команды на эти устройства. Предоставленный анализ исследовательской группы Synthient выявил десятки команд, среди которых SEC_MSG_TYPE_SERVER_TO_NODE_REMOTE_CMD_REQ предоставляет возможность удалённого выполнения кода (RCE) на любом устройстве с запущенным SDK. Это превращает каждый такой узел в потенциальную точку входа для злоумышленников.
Коммуникация SDK с сервером осуществляется через нестандартный протокол. При запуске клиент обращается к api.package.coreservice[.]io:10443 для проверки версии. После этого устанавливается соединение с gtxvdqvuweqs.com через порт 5060. Сообщения шифруются с помощью XOR-ключа, полученного в ходе рукопожатия. Для балансировки нагрузки используются три релейных сервера: 18.167.173[.]120, 43.198.154[.]133 и 95.40.49[.]100. Прокси-запросы принимаются на порту 8080.
Исследователи обнаружили множество способов распространения Gaganode. Например, китайские TV-приставки на базе Rockchip поставляются с предустановленным SDK Gaganode, приложением EarnFM и ботнетом Popa. Поскольку такие устройства работают круглосуточно, доход от их использования существенно выше, чем от обычных компьютеров. На платформе Windows SDK встраивается в старые версии бесплатных менеджеров паролей, а также в программы с пиратских сайтов.
Связь IPCola с Gaganode не ограничивается технической инфраструктурой. Анализ домена 16.162.201[.]176 выявил ещё один сервис - InstaIP, зарегистрированный за месяц до IPCola. InstaIP ориентирован исключительно на китайских пользователей и принимает только местные платёжные системы. IPCola же принимает криптовалюты и продаёт прокси на "серых" форумах, что позволяет предположить, что InstaIP - это "чистый" бренд для внутреннего рынка, а IPCola - для внешнего, без риска подорвать репутацию. Дополнительным подтверждением служит домен proxy.nc-idc.net, принадлежащий китайской хостинг-компании NuoChen Technology. Эта компания предлагает резидентный транзит для скупки товаров и социальных сетей. Исследователи с высокой степенью уверенности связывают NuoChen Technology с управлением обоими прокси-сервисами.
Согласно телеметрии Synthient, за неделю IPCola генерирует около 1,6 миллиона уникальных IP-адресов. Основная их часть приходится на Индию, Бразилию и страны Южной Америки. Значительное пересечение пулов IP между IPCola и другими провайдерами объясняется тем, что в одно приложение часто встраивается несколько разных SDK одновременно.
Случай с IPCola и Gaganode демонстрирует, насколько далеко готовы зайти прокси-сервисы в погоне за уникальными IP-ресурсами. Использование SDK с возможностью удалённого выполнения кода превращает легитимные на первый взгляд устройства в часть ботнета, который может быть задействован для атак или компрометации сетей. Пользователям стоит критически оценивать приложения, запрашивающие широкие разрешения или обещающие пассивный заработок, поскольку за кажущейся выгодой может скрываться серьёзная угроза информационной безопасности.
Индикаторы компрометации
IPv4
- 16.162.201.176
- 18.167.173.120
- 18.167.69.253
- 43.198.102.230
- 43.198.154.133
- 43.198.209.221
- 95.40.49.100
Domain
- api.package.coreservice.io
- assets.coreservice.io
- file.universe30.com
Domain Port Combination
- gtxvdqvuweqs.com:5060
SHA256
- 0519a0936a350eaa79b64ea5cd667272a83b73fe9a3df9fb6f04ef42373dc8de
- 07eeff3570d0031946ac06670a4440816eb6f0683fc29519422bb838c38e4357
- 258b4a160ae535ae70954e555bbcf93acdbb9d7343f2ed70dca67d093d759daa
- 4628b7af20bd83417e3ddd31fd76e7ad8a1665b8366bd9cd76ecede8e111a90c
- 6ce63bced5efd85f97bb90ef7f8513e3d16c5c42867007dbdeb0ae9a05b5ce26
- 7fb9e1f2aaade75bbd463a94d6995218f79a915bcb85c8c9774b3008f5c4f916
- 8b35387ab989d7f965061cd1c81340ea371d90c2177c304a4a1c4d1236b35561
- 8f741f6945bd40627c72380a3c01b660eec15d974b978b64042e73bad2f44e5b
- 97d2d0dacafb9f92ac67492eb4a740e05bd5f8b13325a942fa127182bb6d9593
- 997feb8cf90ee51c50b9445a8632a4ec37aff419b28cd1c5a3291f066fb960c8
- aeeeaff668e4ef34aa77a27a344a195aea4a02ba90815a67b2db380b8f128f59
- c077a38215072901ec6ffc727de6986d705ac6391cb8b85c94abc9b57f957142
- ccb4d03a05595a529ba16f32ad11f10d2f976f3a7fb2b57e38a9d6aea829fd67
- d213377507bc658737768cfccb94eb4c6340629f10a766064de2fee8753694c6
- d95ac995812193f66a01541a57a1f6b962142ecdef704f147df1e3ac2e201b30
- f9a18a48b2013a1c7592236474970dac2652b0509c45efaa7e4aec407579d0d6
