Εγκαταλελειμμένοι τομείς ανακτήθηκαν για να αποκαλύψουν 4.000 κρυφές πόρτες σε παραβιασμένα συστήματα

Οι εγκληματίες του κυβερνοχώρου συχνά αξιοποιούν τις κερκόπορτες - κρυφές πύλες που έχουν σχεδιαστεί για να παρακάμπτουν τα παραδοσιακά μέτρα ασφαλείας - για να διατηρήσουν την πρόσβαση σε παραβιασμένα συστήματα. Σε μια εκπληκτική ανατροπή, οι ερευνητές της κυβερνοασφάλειας απέδειξαν πώς εγκαταλελειμμένες υποδομές, όπως ληγμένα domains, μπορούν να ανακτηθούν για να παραβιάσουν αυτές τις κερκόπορτες, στρέφοντας ουσιαστικά τα δεδομένα στους εισβολείς.

Η WatchTowr Labs αποκάλυψε πρόσφατα ότι κατάφεραν να αποκτήσουν τον έλεγχο σε 4.000 μοναδικά backdoors ιστού αγοράζοντας περισσότερα από 40 ονόματα τομέα που είχαν λήξει για μόλις 20 $ το καθένα. Αυτή η πρωτοβουλία υπογραμμίζει τόσο τους κινδύνους της εγκαταλειμμένης ψηφιακής υποδομής όσο και τις ευκαιρίες διακοπής της κακόβουλης δραστηριότητας.

Πώς οι ληγμένοι τομείς έγιναν πύλη

Οι εν λόγω κερκόπορτες, πολλές από τις οποίες αναπτύχθηκαν μέσω κελύφους ιστού, βασίστηκαν σε συγκεκριμένα ονόματα τομέα για την επικοινωνία εντολών και ελέγχου (C2). Όταν αυτοί οι τομείς έληξαν ή εγκαταλείφθηκαν από τους αρχικούς κατόχους τους, η WatchTowr Labs τα απέκτησε και ανακατεύθυνε την κίνηση στους διακομιστές τους, ουσιαστικά «βυθίζοντας» την κακόβουλη υποδομή.

Αυτό επέτρεψε στους ερευνητές να:

1. Παρακολούθηση Δραστηριότητας Beaconing : Παραβιασμένοι κεντρικοί υπολογιστές «αναφέρονται» στους πρόσφατα ελεγχόμενους τομείς.
2. Χαρτογραφήστε το πεδίο εφαρμογής του συμβιβασμού : Προσδιορισμός χιλιάδων συστημάτων που επηρεάζονται, συμπεριλαμβανομένων κυβερνητικών και ακαδημαϊκών φορέων.
3. Υποθετικά Command the Systems : Θεωρητικά, θα μπορούσαν να έχουν αναλάβει τον πλήρη έλεγχο των παραβιασμένων κεντρικών υπολογιστών, αν και τα ηθικά πρωτόκολλα απέτρεπαν τέτοιες ενέργειες.

The Victims of Hijacked Backdoors

Μεταξύ των παραβιασμένων συστημάτων που εντοπίστηκαν ήταν:

• Κυβερνητικές οντότητες στο Μπαγκλαντές, την Κίνα και τη Νιγηρία .
• Ακαδημαϊκά ιδρύματα σε όλη την Κίνα, τη Νότια Κορέα και την Ταϊλάνδη .

Αυτός ο ευρέως διαδεδομένος συμβιβασμός υπογραμμίζει την παγκόσμια εμβέλεια τέτοιων backdoor καμπανιών και τις σοβαρές συνέπειες της ασυντήρησης της κρίσιμης ψηφιακής υποδομής.

Το Web Shell Arsenal

Οι κερκόπορτες διέφεραν σε πολυπλοκότητα και λειτουργικότητα. Μερικά από τα πιο αξιοσημείωτα κελύφη ιστού που παρατηρήθηκαν περιλαμβάνουν:

• Simple PHP Web Shells : Δυνατότητα εκτέλεσης μεμονωμένων εντολών που παρέχονται από εισβολείς.
• c99shell και r57shell : Προηγμένα εργαλεία για την εκτέλεση αυθαίρετων εντολών, λειτουργιών αρχείων και ανάπτυξης πρόσθετων ωφέλιμων φορτίων. Περιλάμβαναν ακόμη και δυνατότητες για να εξαναγκάσουν τους διακομιστές FTP ή να αφαιρεθούν αυτόματα μετά τη χρήση.
• China Chopper : Ένα ελαφρύ αλλά ισχυρό εργαλείο που ευνοείται από ομάδες προηγμένων επίμονων απειλών (APT), ιδιαίτερα εκείνων που συνδέονται με την Κίνα.

Εκμετάλλευση κερκόπορτων μέσα σε κερκόπορτες

Είναι ενδιαφέρον ότι η WatchTowr Labs ανακάλυψε επίσης περιπτώσεις όπου τα ίδια τα κελύφη Ιστού είχαν παραδοθεί από τους δημιουργούς τους. Αυτές οι τροποποιήσεις διέρρευσαν ακούσια πληροφορίες σχετικά με τις τοποθεσίες τους, επιτρέποντας σε πρόσθετους παράγοντες απειλών να πάρουν τον έλεγχο των παραβιασμένων συστημάτων.

Οι κίνδυνοι των εγκαταλειμμένων τομέων

Δεν είναι η πρώτη φορά που η WatchTowr Labs αποδεικνύει τους πιθανούς κινδύνους εγκαταλελειμμένων υποδομών. Νωρίτερα, η εταιρεία αγόρασε έναν τομέα διακομιστή παλαιού τύπου WHOIS για τον τομέα ανώτατου επιπέδου .mobi (TLD). Παρά τη μετάβαση σε έναν νέο διακομιστή, περισσότερα από 135.000 μοναδικά συστήματα συνέχισαν να επικοινωνούν με τον παλιό τομέα, εκθέτοντας ευαίσθητα συστήματα που ανήκουν σε ιδιωτικές εταιρείες, κυβερνητικές υπηρεσίες και στρατιωτικούς οργανισμούς παγκοσμίως.

Και οι επιτιθέμενοι κάνουν λάθη

Η επιτυχία αυτής της επιχείρησης χρησιμεύει ως μια έντονη υπενθύμιση ότι οι εγκληματίες του κυβερνοχώρου δεν είναι αλάνθαστοι. Οι ληγμένοι τομείς, οι ευπάθειες που δεν έχουν επιδιορθωθεί και τα κακώς συντηρημένα συστήματα είναι ευπάθειες που μπορούν να επηρεάσουν τόσο τους εισβολείς όσο και τους υπερασπιστές.

Βασικά στοιχεία για την ασφάλεια στον κυβερνοχώρο

1. Παρακολούθηση και ανανέωση κρίσιμων τομέων : Οι οργανισμοί πρέπει να διατηρήσουν τον έλεγχο των τομέων που σχετίζονται με κρίσιμα συστήματα για να αποτρέψουν την κακή χρήση τους.
2. Υποδομή παλαιού τύπου ελέγχου : Βεβαιωθείτε ότι τα παλιά συστήματα, τομείς και υπηρεσίες είτε έχουν παροπλιστεί με ασφάλεια είτε έχουν μετεγκατασταθεί σωστά.
3. Το Sinkholing ως αμυντική στρατηγική : Η ηθική έρευνα και οι πρωτοβουλίες καταβύθισης μπορούν να βοηθήσουν στον μετριασμό των συνεχιζόμενων απειλών από εγκαταλελειμμένες κακόβουλες υποδομές.
4. Patch και Secure Backdoors : Οι επιτιθέμενοι συχνά επαναχρησιμοποιούν τα ίδια εργαλεία. Εντοπίστε και εξουδετερώστε τα κελύφη Ιστού για να αποτρέψετε την περαιτέρω εκμετάλλευση.

Σύναψη

Η πειρατεία 4.000 κερκόπορτων μέσω ληγμένων τομέων αποκαλύπτει τόσο την εμμονή των παλαιών απειλών όσο και τις δημιουργικές λύσεις που είναι διαθέσιμες στους επαγγελματίες της κυβερνοασφάλειας. Ενώ η επιχείρηση υπογραμμίζει μια κρίσιμη ευπάθεια στο ψηφιακό οικοσύστημα, καταδεικνύει επίσης τη δυνατότητα διακοπής κακόβουλων εκστρατειών μέσω στρατηγικών αντίμετρων.

Οι οργανισμοί πρέπει να δώσουν προτεραιότητα στην προληπτική διαχείριση της υποδομής και να παραμείνουν σε επαγρύπνηση για να αποφύγουν να πέσουν θύματα της δικής τους επίβλεψης. Στον αγώνα κατά του εγκλήματος στον κυβερνοχώρο, ακόμη και τα εγκαταλελειμμένα περιουσιακά στοιχεία μπορούν να κρατήσουν το κλειδί για την ανάκτηση του ελέγχου.