За неделю в открытом интернете обнаружили 37 командно-контрольных серверов

Разговор идёт не только о крупных компаниях. Арендованное облако, домашний компьютер и рабочий ноутбук выглядят для такого сервера одинаково. Поэтому 37 адресов показывают, какая инфраструктура для атак работает прямо сейчас. Для финансовых организаций, госструктур и промышленных предприятий это означает потерю данных, доступов и времени на разбор инцидентов. Небольшие компании страдают чаще: круглосуточной смены, которая заметит подозрительную активность, у них обычно нет.

Набор инструментов у атакующих широкий. Чаще всего встречалась платформа Mythic - 17 серверов. Следом идёт Havoc с 11 адресами, затем Sliver с пятью. Ещё две точки работали на панелях evilginx для фишинга, по одному серверу пришлось на Empire и NimPlant. В список попали также Cobalt Strike и SuperShell, хотя на этой неделе их среди найденного не оказалось. Все перечисленные платформы - готовые наборы для управления заражёнными системами. Атакующему не нужно писать программу с нуля: он скачивает комплект, разворачивает его на арендованном сервере и получает центр управления. Смена лидеров заметна и по составу находок. Ещё несколько лет назад большую их часть давал Cobalt Strike, теперь вперёд вышли открытые разработки. Mythic и Havoc распространяются бесплатно, их код открыт, обновления выходят регулярно.

География охватывает полтора десятка стран. По данным Censys, адреса распределились между США, Китаем, Россией, Мексикой, Маврикием, Румынией, Молдовой, Германией, Австрией, Литвой, Казахстаном, Кипром, Сингапуром, Японией и Францией. Большая часть узлов стоит на мощностях крупных облачных провайдеров. Среди них Amazon, DigitalOcean, Microsoft, Google, Oracle, Akamai, Hostinger, OVH и Alibaba. Попадаются и локальные площадки - российские Rostelecom и REG.RU. Причина проста. Арендовать сервер можно за несколько минут, оплата проходит картой или криптовалютой, а связать машину с конкретным человеком непросто.

Фишинг в этом обзоре занимает отдельное место. Две панели evilginx работают посредником между жертвой и настоящим сайтом банка или почтового сервиса. Человек вводит логин и пароль на поддельной странице, та передаёт их настоящему сервису и получает доступ к сессии. Двухфакторная аутентификация при такой схеме не спасает, поскольку злоумышленник забирает уже подтверждённую сессию. Для жертвы подделка выглядит привычно: адрес почти совпадает с настоящим, оформление скопировано.

Параллельно на неделе появились три отдельные темы: панель программы Warlock Stealer, панель Cobra Stealer и система переадресации с защитой от обнаружения. Последняя охватывает два десятка серверов. Её задача - показать проверяющим системам безобидную страницу, а живого посетителя отправить на вредоносный ресурс. Программы для кражи данных, которые распространяют под именами Warlock и Cobra, собирают пароли, данные банковских карт, файлы из браузера и криптовалютные кошельки. Панель управления нужна, чтобы разбирать добычу и передавать её покупателям.

Находят такие серверы с помощью поисковых систем по открытым сетевым службам. Они постоянно сканируют адресное пространство интернета, запоминают отпечатки страниц и заголовки, а затем позволяют искать нужные комбинации. Именно так в обзор попали панели управления, которые владельцы не удосужились закрыть паролем. Зато стоит сменить отпечаток, и сервер исчезает из выдачи до следующего обновления. Публичные обзоры помогают компаниям понять, насколько плотно их отрасль окружена чужой инфраструктурой.

Ущерб от такой инфраструктуры измеряется не числом серверов, а последствиями. Потеря доступа к рабочей почте открывает путь к переписке с партнёрами и счетам. Украденная банковская карта оборачивается списанием, которое клиент замечает не сразу. Для промышленного предприятия остановка линии на сутки стоит дороже, чем годовая подписка на средства защиты. При этом компания далеко не всегда узнаёт, что её сотрудник стал частью чужой схемы. Восстановление доступа к десяткам рабочих аккаунтов занимает дни, а часть данных вернуть уже нельзя.

Защита строится из простых шагов. Обновляйте операционные системы и офисные программы, не откладывая установку исправлений. Включайте двухфакторную аутентификацию везде, где она доступна. По возможности выбирайте аппаратные ключи вместо кодов из сообщений. Ограничьте права сотрудников: бухгалтеру незачем иметь доступ к серверам разработки. Следите за исходящими соединениями, ведь заражённая машина регулярно обращается к внешнему узлу за командами. Если собственной службы мониторинга нет, проверяйте хотя бы раз в квартал внешний периметр: какие службы видны из интернета и кто к ним подключается. Отказ от одной лишней открытой панели снижает риск сильнее, чем покупка нового защитного модуля.