Övergivna domäner återtas för att avslöja 4 000 dolda bakdörrar på komprometterade system

Cyberkriminella utnyttjar ofta bakdörrar – dolda gateways utformade för att kringgå traditionella säkerhetsåtgärder – för att upprätthålla åtkomst till komprometterade system. I en överraskande vändning har cybersäkerhetsforskare visat hur övergiven infrastruktur, som utgångna domäner, kan återvinnas för att kapa dessa bakdörrar, vilket effektivt vänder bordet mot angripare.

WatchTowr Labs avslöjade nyligen att de lyckades få kontroll över 4 000 unika webbdörrar genom att köpa mer än 40 utgångna domännamn för så lite som $20 vardera. Detta initiativ belyser både farorna med övergiven digital infrastruktur och möjligheterna att störa skadlig aktivitet.

Hur utgångna domäner blev en gateway

Bakdörrarna i fråga, många utplacerade via webbskal, förlitade sig på specifika domännamn för kommando-och-kontroll (C2) kommunikation. När dessa domäner gick ut eller övergavs av sina ursprungliga ägare, förvärvade WatchTowr Labs dem och dirigerade om trafiken till deras servrar, vilket effektivt "slukade" den skadliga infrastrukturen.

Detta gjorde det möjligt för forskare att:

1. Övervaka beaconing-aktivitet : Kompromissade värdar "rapporterade" till de nyligen kontrollerade domänerna.
2. Kartlägg kompromissens räckvidd : Identifiera tusentals berörda system, inklusive myndigheter och akademiska enheter.
3. Hypotetiskt behärska systemen : Teoretiskt sett kunde de ha tagit full kontroll över de komprometterade värdarna, även om etiska protokoll förhindrade sådana handlingar.

Offren för kapade bakdörrar

Bland de komprometterade systemen som identifierades var:

• Statliga enheter i Bangladesh, Kina och Nigeria .
• Akademiska institutioner i Kina, Sydkorea och Thailand .

Denna utbredda kompromiss understryker den globala räckvidden för sådana bakdörrskampanjer och de allvarliga konsekvenserna av att lämna kritisk digital infrastruktur oförhållen.

Web Shell Arsenal

Bakdörrarna varierade i komplexitet och funktionalitet. Några av de mest anmärkningsvärda webbskalen som observerats inkluderar:

• Enkla PHP-webbskal : Kan köra enstaka kommandon från angripare.
• c99shell och r57shell : Avancerade verktyg för att exekvera godtyckliga kommandon, filoperationer och distribuera ytterligare nyttolaster. De inkluderade till och med funktioner för att brute-force FTP-servrar eller självta bort efter användning.
• China Chopper : Ett lätt men kraftfullt verktyg som gynnas av avancerade persistent hot-grupper (APT), särskilt de som är kopplade till Kina.

Utnyttja bakdörrar inuti bakdörrar

Intressant nog upptäckte WatchTowr Labs också fall där själva webbskalen hade backdoors av deras skapare. Dessa ändringar läckte oavsiktligt information om deras platser, vilket gjorde det möjligt för ytterligare hotaktörer att ta kontroll över de komprometterade systemen.

Riskerna med övergivna domäner

Det här är inte första gången WatchTowr Labs har visat de potentiella riskerna med övergiven infrastruktur. Tidigare köpte företaget en äldre WHOIS-serverdomän för toppdomänen .mobi (TLD). Trots migreringen till en ny server fortsatte över 135 000 unika system att kommunicera med den gamla domänen, vilket avslöjade känsliga system som tillhör privata företag, statliga myndigheter och militära organisationer över hela världen.

Angripare gör också misstag

Framgången med denna operation tjänar som en skarp påminnelse om att cyberbrottslingar inte är ofelbara. Utgångna domäner, oparpade sårbarheter och dåligt underhållna system är sårbarheter som kan påverka både angripare och försvarare.

Viktiga takeaways för cybersäkerhet

1. Övervaka och förnya kritiska domäner : Organisationer måste behålla kontrollen över domäner som är associerade med kritiska system för att förhindra missbruk av dem.
2. Granska äldre infrastruktur : Se till att gamla system, domäner och tjänster antingen avvecklas på ett säkert sätt eller migreras på rätt sätt.
3. Sinkholing som en defensiv strategi : Etisk forskning och slukhålsinitiativ kan hjälpa till att mildra pågående hot från övergiven skadlig infrastruktur.
4. Patcha och säkra bakdörrar : Angripare återanvänder ofta samma verktyg. Upptäck och neutralisera webbskal för att förhindra efterföljande utnyttjande.

Slutsats

Kapningen av 4 000 bakdörrar genom utgångna domäner avslöjar både hur länge äldre hot är kvar och de kreativa lösningar som är tillgängliga för cybersäkerhetsproffs. Även om operationen belyser en kritisk sårbarhet i det digitala ekosystemet, visar den också potentialen att störa skadliga kampanjer genom strategiska motåtgärder.

Organisationer måste prioritera proaktiv infrastrukturförvaltning och vara vaksamma för att undvika att bli offer för sin egen tillsyn. I kampen mot cyberbrottslighet kan till och med övergivna tillgångar hålla nyckeln till att återta kontrollen.