Касперский предупреждает: воруют! Исследователи Kaspersky Lab изучили всемирный форум, где киберпреступники могут покупать и продавать доступ ко взломанным серверам.
Это так называемый «рынок xDedic», которым, по-видимому, заведует русскоязычная группа. Он в настоящий момент насчитывает 70 624 выставленных на продажу взломанных сервера с протоколом удаленного рабочего стола.
Многие серверы осуществляют хостинг популярных пользовательских сайтов и сервисов или предоставляют к ним доступ, а на некоторых из них установлено программное обеспечение для прямой почтовой рассылки, финансового учета и процессинга кассовых терминалов (PoS). Они могут быть использованы для атак на инфраструктуру их владельцев или как стартовая площадка для более массовых атак, в то время как их владельцы, в том числе правительственные учреждения, корпорации и университеты, практически не имеют представления о том, что там происходит.
xDedic является мощным примером нового вида киберкриминального рынка: он хорошо организован и хорошо поддерживается, а также предлагает каждому – от начинающих киберпреступников до групп с автоматизированным программным инструментарием (APT) – быстрый, дешевый и легкий доступ к легитимной организационной инфраструктуре. Эта группировка старается совершать свои преступления как можно более незаметно.
Один европейский интернет-провайдер (ISP) поставил в известность KasperskyLab о существовании xDedic, так что обе компании провели совместную работу, чтобы выяснить, как работает форум. Процесс очень прост и тщательно продуман: хакеры взламывают серверы – зачастую с помощью полного перебора всех сочетаний (метода «грубой силы», или «брутфорса»), и предоставляют учетные данные на рынок xDedic. Взломанные серверы затем проверяются в отношении их конфигурации RDP, памяти, программного обеспечения, просмотра истории и многого другого – все то, что чем клиенты могут интересоваться перед покупкой. После этого они добавляются к растущей интернет-базе данных, с помощью которой можно получить доступ к следующим серверам:
• Серверы, принадлежащие правительственным сетям, корпорациям и университетам;
• Серверы, помеченные для получения доступа к определенным сайтам и услугам (или для их хостинга), в том числе игры, тотализаторы, сайты знакомств, интернет-магазины, онлайн-банкинг и оплата, сети сотовых операторов, интернет-провайдеры и браузеры;
• Серверы с предварительно установленным программным обеспечением, которое может облегчить совершение атак, в том числе прямая почтовая рассылка, финансовые программы и программное обеспечение для PoS;
• Доступ ко всем серверам поддерживается с помощью целого ряда хакерских и системных информационных инструментов.
Всего лишь за 6$ на каждый сервер члены форума xDedic могут получить доступ ко всем данным сервера, а также использовать его в качестве платформы для дальнейших злонамеренных атак. Потенциально это может включать в себя, в частности, целевые атаки, вредоносные программы, DDoS, фишинг, социальный инжиниринг и атаки рекламных программ.
Законные владельцы серверов – авторитетные организации, включая правительственные сети, корпорации и университеты – зачастую не знают, что их IT-инфраструктура была взломана. Кроме того, как только хакерская кампания будет завершена, злоумышленники могут снова выставить доступ к серверу на продажу, и весь процесс может начаться снова.
Рынок XDedic, похоже, был открыт для бизнеса примерно в 2014 году и значительно вырос в популярности с середины 2015 г. В мае 2016 года на нем было выставлено на продажу 70 624 сервера из 173 стран 416 различными продавцами. Десятка стран, наиболее пострадавших от их действий: Бразилия, Китай, Россия, Индия, Испания, Италия, Франция, Австралия, Южная Африка и Малайзия.
Группировка, стоящая за форумом xDedic, похоже, русскоязычна и утверждает, что она только предоставляет торговую платформу и не имеет никаких связей с продавцами или отношения к ним.
Советы организациям:
• Установите надежное решение для компьютерной безопасности в рамках всеобъемлющего и многоуровневого подхода к безопасности IT-инфраструктуры.
• Настаивайте на использовании надежных паролей как части процесса аутентификации сервера.
• Осуществляйте непрерывный процесс управления внесением исправлений.
• Проводите регулярный аудит безопасности IT-инфраструктуры
• Рассмотрите вопрос об инвестировании в сервисы для аналитики угроз, которые будут держать организацию в курсе возникающих угроз и предлагать понимание точки зрения уголовного права чтобы помочь им оценить уровень их риска.
Autor: Анастасия Тидо
Похожие статьи
Многие семьи в Эстонии порой оказываются в сложных жизненных обстоятельствах. Но даже небольшая помощь способна существенно облегчить их положение и дать надежду на лучшее. В этом году компания
Wallester присоединилась к важной благотворительной инициативе, став партнером фонда
Naerata Ometi. Миссия этой организации проста – не оставлять людей наедине с их бедами.