Mạng bot Socks5Systemz cung cấp dịch vụ proxy bất hợp pháp với hơn 85.000 thiết bị bị hack
Theo phát hiện mới từ Bitsight, một mạng botnet độc hại có tên Socks5Systemz đang điều khiển dịch vụ proxy có tên PROXY.AM.
Nhóm nghiên cứu bảo mật của công ty cho biết trong một bản phân tích được công bố tuần trước : "Phần mềm độc hại và dịch vụ proxy cho phép các loại hoạt động tội phạm khác thêm nhiều lớp ẩn danh không kiểm soát vào những kẻ đe dọa, do đó chúng có thể thực hiện mọi loại hoạt động độc hại bằng cách sử dụng chuỗi hệ thống của nạn nhân" .
Việc tiết lộ này được đưa ra chỉ vài tuần sau khi nhóm Black Lotus Labs tại Lumen Technologies tiết lộ rằng các hệ thống bị xâm nhập bởi một phần mềm độc hại khác có tên là Ngioweb đang bị lạm dụng làm máy chủ proxy tại nhà cho NSOCKS.
Socks5Systemz, ban đầu được quảng cáo trong thế giới tội phạm mạng từ tháng 3 năm 2013, trước đó đã được BitSight ghi nhận là được triển khai như một phần của các cuộc tấn công mạng nhằm mục đích phân phối PrivateLoader, SmokeLoader và Amadey.
Mục tiêu chính của phần mềm độc hại là biến các hệ thống bị xâm phạm thành các nút thoát proxy, sau đó được quảng cáo cho các tác nhân khác, thường là tội phạm mạng đang tìm cách che giấu nguồn gốc các cuộc tấn công của chúng. Dịch vụ proxy bất hợp pháp này đã xuất hiện từ năm 2016.
Các quốc gia có số lượng vật chủ bị nhiễm nhiều nhất là Ấn Độ, Indonesia, Ukraine, Algeria, Việt Nam, Nga, Thổ Nhĩ Kỳ, Brazil, Mexico, Pakistan, Thái Lan, Philippines, Colombia, Ai Cập, Hoa Kỳ, Argentina, Bangladesh, Morocco và Nigeria.
Đến tháng 1 năm 2024, quy mô của mạng botnet được cho là đã tăng vọt lên mức trung bình hàng ngày khoảng 250.000 máy, mặc dù ước tính hiện tại đưa ra con số từ 85.000 đến 100.000. Tại thời điểm viết bài, PROXY.AM tuyên bố rằng họ có 80.888 nút proxy có sẵn từ 31 quốc gia khác nhau.
Bitsight cho biết, "Vào tháng 12 năm 2023, kẻ tấn công đã mất quyền kiểm soát Socks5Systemz V1 và phải xây dựng lại mạng botnet từ đầu với cơ sở hạ tầng \[chỉ huy và kiểm soát\] hoàn toàn khác — mà chúng tôi gọi là mạng botnet Socks5Systemz V2", đồng thời giải thích lý do cho sự suy giảm này.
"Vì Socks5Systemz bị các trình tải (như Privateloader, SmokeLoader hoặc Amadey) tồn tại trong hệ thống loại bỏ nên các chiến dịch phân phối mới đã được sử dụng để thay thế các phần mềm độc hại cũ bằng các phần mềm độc hại mới."
PROXY.AM (proxy\[.\]am và proxyam\[.\]one) tự quảng cáo là cung cấp "máy chủ proxy cao cấp, riêng tư và ẩn danh" với mức giá từ 126 đô la/tháng (Gói không giới hạn) đến 700 đô la/tháng (Gói VIP).
Việc tiết lộ này diễn ra sau báo cáo từ Trend Micro nêu chi tiết những nỗ lực liên tục của các tác nhân đe dọa nhằm vào các máy chủ Docker Remote API được cấu hình sai bằng phần mềm độc hại botnet Gafgyt để thực hiện các cuộc tấn công từ chối dịch vụ phân tán (DDoS) vào các mục tiêu quan tâm.
Trong khi Gafgyt có thành tích nhắm vào các thiết bị IoT dễ bị tấn công, việc phần mềm độc hại này khai thác mật khẩu SSH yếu và các phiên bản Docker cho thấy phạm vi của nó đang được mở rộng.
"Chúng tôi nhận thấy những kẻ tấn công nhắm mục tiêu vào các máy chủ API từ xa Docker bị cấu hình sai công khai để triển khai phần mềm độc hại bằng cách tạo một vùng chứa Docker dựa trên hình ảnh Docker 'alpine' hợp lệ", nhà nghiên cứu bảo mật Sunil Bharti cho biết . "Cùng với việc triển khai phần mềm độc hại Gafgyt, những kẻ tấn công đã sử dụng phần mềm độc hại botnet Gafgyt để lây nhiễm cho nạn nhân".
Cấu hình đám mây không đúng cách đã chứng minh là một bề mặt tấn công hấp dẫn đối với những kẻ tấn công muốn triển khai trình khai thác tiền điện tử , đánh cắp dữ liệu và biến chúng thành mạng bot để tấn công DDoS.
Theo một phân tích thực nghiệm mới của một nhóm các nhà nghiên cứu từ Đại học Leiden và Đại học Công nghệ Delft, có tới 215 trường hợp được phát hiện có chứa thông tin đăng nhập nhạy cảm có khả năng cấp cho kẻ tấn công quyền truy cập trái phép vào các dịch vụ như cơ sở dữ liệu, cơ sở hạ tầng đám mây và API của bên thứ ba.
Phần lớn các trường hợp xảy ra ở Hoa Kỳ, Ấn Độ, Úc, Anh, Brazil và Hàn Quốc, trải dài trên nhiều lĩnh vực như công nghệ thông tin (IT), bán lẻ, tài chính, giáo dục, truyền thông và chăm sóc sức khỏe.
"Những phát hiện này nhấn mạnh nhu cầu cấp thiết về việc quản lý hệ thống tốt hơn và giám sát chặt chẽ để ngăn chặn rò rỉ dữ liệu", Nhóm Modat cho biết . "Tác động của việc rò rỉ những bí mật này có thể rất lớn, từ việc kiểm soát hoàn toàn cơ sở hạ tầng bảo mật của tổ chức cho đến việc mạo danh và xâm nhập vào cơ sở hạ tầng đám mây được bảo vệ".