Сервер в Чили связали с управлением инфраструктурой трояна IcedID

Новый эпизод касается конкретного сервера. Он числится за новозеландским хостинг-провайдером Zappie Host, хотя данные геолокации указывают на Чили. Адрес засветился в конце прошлой недели при подключении к одному из действующих управляющих серверов IcedID. Этот сервер принимает соединения от заражённых машин через модуль посредничества. Такой модуль превращает заражённый компьютер в промежуточное звено. Через него злоумышленник проводит свой трафик и скрывает настоящий источник подключений. Управляющая инфраструктура IcedID устроена по многоуровневой схеме: одни узлы принимают первичные обращения, другие передают команды, третьи отвечают за загрузку модулей. Диапазон адресов, куда входит чилийская точка, давно и регулярно используется для размещения управляющей инфраструктуры трояна. При первом разборе исследователи заметили паузу в работе этого узла: с 12 декабря 2022 года по 26 января 2023 года подключения с него не фиксировались.

Пауза пришлась на новогодние праздники, но объясняется не только ими. Провалы в работе обычно связывают с праздничными днями, плановыми обновлениями серверов и внутренними сложностями у операторов. Похожие перерывы фиксировались и на других узлах той же сети - у загрузчика и у модуля посредничества. Отслеживание инфраструктуры IcedID, которое ведёт Team Cymru, показало смену инструментов доступа. До середины декабря операторы заходили на сервер через один защищённый туннель, а после возвращения в январе - через другой. Оба варианта уже встречались в предыдущих наблюдениях за модулем посредничества. Это указывает на единый набор привычек у людей, которые управляют разными частями инфраструктуры. Смена инструмента редко происходит случайно: обычно за ней следует изменение самой схемы работы.

Чилийский адрес интересен не только подключениями к чужим узлам. С 26 января он обращался к десяткам внешних ресурсов. Часть из них относится к панели управления промежуточным звеном загрузчика, которое отвечает за первичную связь с жертвой и доставку основного модуля. Отдельный адрес, куда шли ежедневные подключения, обслуживал два домена. Оба зарегистрированы в ноябре 2022 года через анонимного регистратора Njalla. Имена у них типичны для текущих шаблонов IcedID. Рядом обнаружились ещё четыре домена с теми же датами регистрации и тем же регистратором. Все они уже использовались для управляющей инфраструктуры за последние три месяца. Повторное использование тех же имён и сервисов помогает связывать новые узлы с уже известной инфраструктурой.

Поведение этих узлов отличается от остальных. Обычно загрузчик получает постоянные обращения заражённых машин, а здесь такого трафика нет. Соединения шли не по тому каналу, который ожидается для связи с жертвами. Одна из версий - адреса применялись для разработки или проверки. Исследователи не исключают, что часть узлов существует для внутренних нужд самих операторов: сборки, обкатки новых цепочек заражения, настройки панелей управления. Такая практика усложняет обнаружение, ведь привычных признаков заражения на этих серверах нет. Отсутствие ожидаемого трафика не отменяет рисков: подобные узлы могут обслуживать подготовку будущих атак. Управляющие узлы IcedID живут около месяца, поэтому их отслеживают по устойчивым признакам: шаблонам имён, регистратору, времени появления. Для обнаружения важнее не отдельные адреса, а сочетание таких признаков.

Просмотр сайтов, которые посещал этот адрес, даёт представление о рабочих интересах оператора. Большинство ресурсов связано с работой доменной системы - службы, которая переводит имена сайтов в адреса. Отмечены сервисы, прячущие запросы к доменной системе от посторонних глаз, анонимные релеевые узлы, средства обмена файлами через командную строку. Есть обращения к российскому поисковому сервису и к площадкам, позволяющим скрывать активность. Сервис для одноразовой почты из этого списка фигурировал в публикациях переписки группировки Conti. Библиотека шифрования, которой интересовался пользователь, применяется в программах-вымогателях LockBit. В списке есть и русскоязычный сервис поисковой оптимизации - он согласуется с недавними кампаниями, где IcedID распространяли через рекламные объявления. Интерес к средствам шифрования и анонимности объясним: они нужны и для сокрытия связи, и для подготовки атак.

Для защиты сетей полезно следить за обращениями к диапазону адресов, закреплённому за Zappie Host, и за исходящими подключениями к недавно обновлённым управляющим узлам. Списки таких узлов обновляются оперативно, поскольку срок их жизни невелик. Организациям стоит закрывать доступ к сомнительным адресам на периметре, следить за аномалиями в исходящем трафике и вовремя обновлять средства защиты. Отдельно стоит проверять, не появились ли на рабочих станциях новые службы, которые не устанавливал администратор. Домашним пользователям помогут простые привычки: свежие обновления системы, осторожность при переходах по рекламным ссылкам, двухфакторная аутентификация в важных сервисах.