Atkurti apleisti domenai, kad būtų atskleista 4 000 paslėptų užpakalinių durų pažeistose sistemose

Kibernetiniai nusikaltėliai dažnai naudoja užpakalines duris – paslėptus vartus, skirtus apeiti tradicines saugumo priemones, kad išlaikytų prieigą prie pažeistų sistemų. Stebinančiu posūkiu kibernetinio saugumo tyrinėtojai pademonstravo, kaip galima susigrąžinti apleistą infrastruktūrą, pvz., pasibaigusius domenus, kad būtų užgrobtos šios užpakalinės durys ir veiksmingai atsiverstų užpuolikai.

„WatchTowr Labs“ neseniai atskleidė, kad įsigijo daugiau nei 40 nebegaliojančių domeno vardų vos už 20 USD už kiekvieną 4000 unikalių interneto užpakalinių durų. Ši iniciatyva pabrėžia ir apleistos skaitmeninės infrastruktūros keliamus pavojus, ir galimybes sutrikdyti kenkėjišką veiklą.

Kaip pasibaigusio galiojimo domenai tapo vartais

Nagrinėjamos užpakalinės durys, kurių daugelis buvo įdiegtos per žiniatinklio apvalkalus, rėmėsi konkrečiais domenų pavadinimais komandų ir valdymo (C2) ryšiui. Pasibaigus šių domenų galiojimo laikui arba jų palikus pirminiams savininkams, „WatchTowr Labs“ juos įsigijo ir nukreipė srautą į jų serverius, taip veiksmingai „įskandindama“ kenkėjišką infrastruktūrą.

Tai leido tyrėjams:

1. Stebėti švyturio veiklą : apie pažeistus pagrindinius kompiuterius „pranešė“ į naujai valdomus domenus.
2. Susipažinkite su kompromiso apimtimi : nustatykite tūkstančius paveiktų sistemų, įskaitant vyriausybę ir akademinius subjektus.
3. Hipotetiškai vadovauti sistemoms : teoriškai jie galėjo visiškai kontroliuoti pažeistus pagrindinius kompiuterius, nors etiniai protokolai užkirto kelią tokiems veiksmams.

Užgrobtų užpakalinių durų aukos

Tarp nustatytų pažeistų sistemų buvo:

• Vyriausybės subjektai Bangladeše, Kinijoje ir Nigerijoje .
• Akademinės institucijos Kinijoje, Pietų Korėjoje ir Tailande .

Šis plačiai paplitęs kompromisas pabrėžia pasaulinį tokių užpakalinių durų kampanijų pasiekiamumą ir rimtus padarinius, atsirandančius dėl ypatingos svarbos skaitmeninės infrastruktūros neprižiūrimo.

„Web Shell“ arsenalas

Užpakalinės durys buvo skirtingo sudėtingumo ir funkcionalumo. Kai kurie iš labiausiai pastebėtų žiniatinklio apvalkalų buvo šie:

• Paprasti PHP žiniatinklio apvalkalai : gali vykdyti atskiras užpuolikų pateiktas komandas.
• c99shell ir r57shell : pažangūs įrankiai, skirti vykdyti savavališkas komandas, failų operacijas ir diegti papildomus naudingus krovinius. Juose netgi buvo brutalios jėgos FTP serverių įjungimo arba savaiminio pašalinimo po naudojimo funkcijų.
• „China Chopper“ : lengvas, bet galingas įrankis, kurį mėgsta pažangios nuolatinės grėsmės (APT) grupės, ypač susijusios su Kinija.

„Backdoors“ išnaudojimas „Backdoors“ viduje

Įdomu tai, kad „WatchTowr Labs“ taip pat aptiko atvejų, kai patys žiniatinklio apvalkalai buvo užpakaliniai jų kūrėjų. Dėl šių modifikacijų netyčia nutekėjo informacija apie jų vietas, todėl papildomi grėsmės veikėjai galėjo perimti pažeistų sistemų kontrolę.

Apleistų domenų rizika

Tai ne pirmas kartas, kai „WatchTowr Labs“ demonstruoja galimą apleistos infrastruktūros pavojų. Anksčiau bendrovė įsigijo seną WHOIS serverio domeną .mobi aukščiausio lygio domenui (TLD). Nepaisant perėjimo prie naujo serverio, daugiau nei 135 000 unikalių sistemų ir toliau bendravo su senuoju domenu, atskleisdamos jautrias sistemas, priklausančias privačioms įmonėms, vyriausybinėms agentūroms ir karinėms organizacijoms visame pasaulyje.

Užpuolikai taip pat daro klaidų

Šios operacijos sėkmė yra ryškus priminimas, kad kibernetiniai nusikaltėliai nėra neklystantys. Pasibaigę domenai, nepataisyti pažeidžiamumai ir prastai prižiūrimos sistemos yra pažeidžiamumas, galintis paveikti tiek užpuolikus, tiek gynėjus.

Pagrindiniai kibernetinio saugumo pasiūlymai

1. Stebėkite ir atnaujinkite svarbius domenus : organizacijos turi kontroliuoti domenus, susijusius su svarbiomis sistemomis, kad išvengtų netinkamo jų naudojimo.
2. Pasenusios infrastruktūros auditas : Užtikrinkite, kad senos sistemos, domenai ir paslaugos būtų saugiai nutrauktos arba tinkamai perkeltos.
3. Smegduobės kaip gynybinė strategija : etiniai tyrimai ir įgrimzdimo iniciatyvos gali padėti sušvelninti nuolatines apleistos kenkėjiškos infrastruktūros keliamas grėsmes.
4. Pataisymas ir saugios užpakalinės durys : užpuolikai dažnai pakartotinai naudoja tuos pačius įrankius. Aptikti ir neutralizuoti žiniatinklio apvalkalus, kad būtų išvengta tolesnio išnaudojimo.

Išvada

4000 užpakalinių durų užgrobimas per nebegaliojančius domenus atskleidžia ir senų grėsmių išlikimą, ir kibernetinio saugumo specialistams prieinamus kūrybiškus sprendimus. Nors operacija išryškina kritinį skaitmeninės ekosistemos pažeidžiamumą, ji taip pat parodo, kad taikant strategines atsakomąsias priemones ji gali sutrikdyti kenkėjiškas kampanijas.

Organizacijos turi teikti pirmenybę iniciatyviam infrastruktūros valdymui ir išlikti budrios, kad netaptų savo pačių priežiūros aukomis. Kovojant su elektroniniais nusikaltimais, net ir paliktas turtas gali būti raktas į kontrolės atgavimą.