Серверы, с которых управляют вредоносным ПО, найти проще, чем принято думать. За неделю с 2 по 8 ноября сканирование открытого интернета показало 75 узлов C2 - серверов, через которые оператор отдаёт команды заражённым машинам и забирает у них данные. Часть из них работает в облаках крупных провайдеров. Искать подолгу не пришлось: панели управления отвечают на запросы снаружи и опознаются по типовым признакам.
Описание
При этом набор платформ за неделю получился широким. Самая крупная группа в сводке - ARTEX, 19 адресов. Следом идёт Cobalt Strike с 17. Кроме них, в поле зрения попали каркасы вроде Mythic и Sliver. Список отслеживаемых платформ задан заранее, поэтому 75 адресов - это выборка, а не весь интернет. Адреса разошлись по Америке, Европе и Азии: в таблице соседствуют публичные облака и небольшие дата-центры. Строка в таблице - это адрес, а не человек. Правда, сводка не связывает их с конкретными кампаниями: перед нами снимок инфраструктуры, а не разбор чьей-то атаки.
Способ, которым эти адреса попали в сводку, объясняет их видимость. По данным исследователей, инфраструктуру искали через поисковик интернет-устройств Censys: он показывает, какие сервисы отвечают на конкретном адресе. Для владельца заражённой машины это значит, что где-то в сети есть узел, который ждёт её подключения. Такой узел виден не только оператору. Любой, кто задаст поисковику тот же вопрос, получит тот же ответ - вместе с провайдером и страной. Поэтому панель, выставленная в публичное облако, перестаёт быть секретом почти сразу.
После этого у защитников появляется зацепка, но не доказательство. Адрес из сводки годится для блокировки на периметре и для поиска в журналах подключений. Сам по себе он ничего не доказывает: панель может стоять на машине, которую арендовали в тот же день. В таблице есть запись, где один адрес помечен сразу двумя платформами, - и это тоже не признак чего-то большего. Поэтому проверять приходится не адрес, а поведение: кто и когда к нему обращался. Иначе список превращается в набор случайных совпадений.
Практическая польза от таких сводок скромнее, чем кажется. Они показывают распределение инфраструктуры по провайдерам и странам, а не конкретных людей за панелями. Из таблицы видно, какие платформы в ходу и где под них арендуют машины. Дальше начинается ручная работа: сопоставление с собственными логами, проверка адресов, решение о блокировке. Автоматически здесь не масштабируется почти ничего.
Дальше в дело вступает общая инфраструктура. Блокировать целую подсеть облачного провайдера - значит задеть чужие рабочие сервисы. Поэтому срабатывания по одному адресу часто остаются точечными. Для компании, которая арендует соседнюю машину, это оборачивается лишними проверками и разбором инцидентов. Впрочем, адрес остаётся в списках и после того, как панель на нём перестанет отвечать.
Исправления здесь не будет. Сервер C2 - не уязвимость в продукте, а инструмент, который работает как задумано. Закрыть панель может либо её владелец, либо хостинг - по жалобе или по внутренним правилам. Поэтому адрес исчезает из сводок не после патча, а после смены настроек или блокировки. До этого он остаётся видимым.
Список за неделю собран по одному признаку - тому, как сервер отвечает на запрос. Пока панели отвечают, их будут находить.
Индикаторы компрометации
