Нідерланди знищили ботнет з 17 млн пристроїв
Нідерланди ліквідували масштабний ботнет із 17 мільйонів заражених пристроїв
Національний центр кібербезпеки Нідерландів (NCSC) повідомив про ліквідацію великого ботнету, який налічував 17 мільйонів пристроїв. Операція була проведена минулого тижня спільно з місцевою поліцією. За даними відомства, було вжито заходів проти 200 серверів, які забезпечували роботу ботнету.
Російський слід у кібератаці
Хостинг-провайдер, що обслуговував ці сервери, відключив ботнет від мережі через його причетність до злочинної діяльності. NCSC не розкрив назву ботнету, проте видання The Hacker News, посилаючись на NL Times, повідомило, що йдеться про сервіс Asocks.
Asocks надає послуги резидентних проксі-серверів, пропонуючи корпоративні, резидентні та мобільні проксі за цінами від $5 до $15. Останні згадки про компанію з’явилися два роки тому, коли дослідники виявили безкоштовні VPN-додатки для Android, які таємно підключали пристрої користувачів до ботнету.
Експерти з команди Satori Intelligence компанії HUMAN зазначали, що Asocks базується в росії та активно рекламується на хакерських форумах як постачальник проксі-сервісів для кіберзлочинців.
Як пристрої стають частиною ботнету
Проксі-сервіси самі по собі не є злочинними — вони мають легітимне застосування та можуть підвищувати конфіденційність. Проте кіберзлочинці часто використовують їх для маскування своєї діяльності. Якщо провайдер не вживає заходів безпеки, його послуги можуть бути визнані злочинними.
Ключовим фактором є спосіб залучення пристроїв до мережі. У нелегальних ботнетах пристрої додаються без відома власників через шкідливе програмне забезпечення.
«Пристрої можуть стати частиною ботнету, коли вони стають доступними для зловмисників», — пояснюють у NCSC. — «Отримавши доступ, нападники встановлюють шкідливе ПЗ, яке дозволяє керувати пристроєм віддалено. Це дає змогу використовувати його для кіберзлочинної діяльності».
Для захисту від ботнетів фахівці радять регулярно оновлювати програмне забезпечення та використовувати надійні паролі.
Чим був небезпечний ботнет Asocks
За даними NCSC, кіберзлочинці купували доступ до цієї мережі для проведення DDoS-атак, розсилання спаму, підбору паролів (брутфорсу), крадіжки облікових даних та поширення шкідливого ПЗ.
«Оскільки Asocks використовував IP-адреси реальних користувачів, захисним системам було складно виявити чи заблокувати шкідливий трафік», — зазначає портал Help Net Security.
Для систем безпеки запити з ботнету виглядали як звичайні дії клієнтів або співробітників компаній. Це дозволяло хакерам обходити географічні обмеження та системи захисту дата-центрів.
Як проходила операція з ліквідації ботнету
Розслідування розпочалося після того, як незалежний дослідник виявив аномальну активність і передав дані до NCSC. Зловмисники роками створювали цю інфраструктуру, заражаючи не лише комп’ютери та смартфони, а й роутери та пристрої «розумного дому».
Усі 200 керуючих серверів фізично розташовувалися в легальних європейських дата-центрах Нідерландів, що допомагало хакерам маскувати злочинний трафік під легітимний обмін даними.
