Malware SystemBC Przekształca Serwery VPS w Wysokoprzepustowe Proxy dla Przestępców

Badacze ujawnili, że botnet SystemBC przekształca serwery VPS w serwery proxy dla działań kryminalnych, które obejmują ataki REM Proxy i ransomware na całym świecie.

Firma zajmująca się cyberbezpieczeństwem, Lumen Technologies, odkryła nowe szczegóły dotyczące botnetu „SystemBC”. Ten ogromny sieć, składająca się z ponad 80 serwerów sterujących (C2s), codziennie kompromituje około 1500 systemów. Badacze twierdzą, że niemal 80% tych ofiar to wirtualne serwery prywatne (VPS) od głównych dostawców.

„Przez manipulowanie systemami VPS zamiast urządzeniami w przestrzeni IP mieszkalnej, co jest typowe dla sieci proxy opartych na złośliwym oprogramowaniu, SystemBC może oferować proxy z ogromnymi ilościami danych na dłuższy okres czasu” – powiedzieli naukowcy.

Badacze wyjaśniają, że zainfekowane systemy VPS funkcjonują jako serwery proxy, generując masowe ilości złośliwego ruchu, którego organizacje przestępcze używają do przeprowadzania swoich operacji.

Botnet wspiera również REM Proxy, dużą sieć marketingową obsługującą 20 000 routerów Mikrotik oraz inne otwarte proxy.

Lumen wyjaśnia, że REM Proxy działa jako usługa proxy, która wspiera grupy ransomware, takie jak Morpheus i TransferLoader, oferując różne usługi proxy, które obejmują szybkie i skryte opcje, a także przystępne adresy IP do łamania haseł.

„SystemBC wykazuje ciągłą aktywność i operacyjną odporność przez wiele lat”, powiedziała Lumen, zauważając, że malware pierwotnie udokumentowany w 2019 roku nadal jest kluczowym narzędziem dla grup przestępczych. Każdy zainfekowany serwer ma średnio 20 niezałatanych luk bezpieczeństwa, a niektóre wykazują ponad 160.

Malware działa jako narzędzie proxy, które umożliwia atakującym przekierowanie ruchu przez zainfekowane komputery. Operatorzy skupiają się na ilości, a nie na dyskrecji; w jednym teście, pojedynczy adres IP wygenerował ponad 16 gigabajtów danych w ciągu 24 godzin.

Lumen zablokował cały ruch do i z infrastruktury SystemBC i REM Proxy na całej swojej globalnej sieci. Badacze również udostępnili wskaźniki naruszenia (IoCs), aby pomóc innym chronić się.

„Będziemy nadal monitorować nową infrastrukturę, działania ukierunkowane i rozwijające się TTP; i współpracować ze społecznością badaczy bezpieczeństwa, aby dzielić się wynikami,” zakończono w raporcie.