Исследовательская группа Halcyon опубликовала отчет, раскрывающий деятельность ранее неизученного игрока в сфере киберпреступности - провайдеров командного центра поддержки (C2P, Command-and-Control Providers). Эти организации, маскирующиеся под легальный бизнес, предоставляют критическую инфраструктуру для проведения масштабных атак вымогателями (ransomware) и группами повышенной угрозы (APT, Advanced Persistent Threat).
Описание
Согласно отчету «Cloudzy с вероятностью вымогательства: разоблачение провайдеров командного центра поддержки (C2P)», исследователи разработали уникальную методику идентификации подобных провайдеров, позволяющую прогнозировать подготовку к крупным ransomware-кампаниям на ранних стадиях. Метод основан на анализе метаданных атакующей инфраструктуры, в частности - имен удаленных рабочих столов (RDP, Remote Desktop Protocol).
Ключевым открытием стало установление роли интернет-провайдера Cloudzy как общего поставщика услуг для многочисленных киберпреступных группировок. Компания принимает криптовалюты в обмен на анонимное использование своих виртуальных приватных серверов (VPS, Virtual Private Server) с поддержкой RDP. Исследование показало, что от 40% до 60% активности через Cloudzy имеет злонамеренный (malicious) характер.
Среди пользователей услуг Cloudzy выявлены APT-группы, связанные с правительствами Китая, Ирана, Северной Кореи, России, Индии, Пакистана и Вьетнама. Также услугами провайдера пользуется подвергнутая санкциям израильская компания по производству шпионского ПО, инструменты которой нацелены на гражданское общество, и несколько криминальных синдикатов, чьи кампании ранее становились международными сенсациями.
Особую значимость исследованию придает идентификация двух ранее неизвестных аффилированных лиц с вымогателями, получивших кодовые имена Ghost Clown и Space Kook. Первый в настоящее время развертывает BlackBasta ransomware , второй - Royal. Обе группировки связаны через общего интернет-провайдера Cloudzy.
Юридический статус самого Cloudzy вызывает серьезные вопросы. Несмотря на регистрацию в Соединенных Штатах, собранные доказательства указывают на фактическое расположение компании в Тегеране (Иран) под руководством лица по имени Хасан Нозари. Такая деятельность потенциально нарушает американские санкции против Ирана.
Методика Halcyon позволяет использовать маловероятную точку анализа - имена хостов RDP в метаданных инфраструктуры аффилированных лиц. Это дает командам безопасности возможность обнаруживать надвигающиеся атаки вымогателей на этапе развертывания атакующей инфраструктуры, то есть до момента непосредственного запуска вредоносного кода.
Исследователи пришли к выводу о устойчивой модели использования или злоупотребления серверами интернет-провайдера Cloudzy со стороны более двух десятков различных субъектов угроз. Отчет содержит конкретные индикаторы компрометации и рекомендует специалистам по безопасности немедленно реагировать при появлении в их сетях любого из одиннадцати идентифицированных имен хостов RDP.
Защитникам предлагается осуществлять поиск этих имен хостов как ретроспективно - для выявления возможных атак, уже находящихся в активной фазе, так и проактивно - для предотвращения начала любой злонамеренной деятельности. Этот подход позволяет значительно сместить обнаружение угроз «влево от взрыва» в временной шкале киберинцидента, что кардинально повышает шансы на успешное противодействие.
Опубликованное исследование вносит существенный вклад в понимание архитектуры современной киберпреступности, выделяя провайдеров C2 в отдельную категорию участников экосистемы, и предлагает практические инструменты для упреждающей защиты против одних из самых разрушительных кибератак современности.
Индикаторы компрометации
