Таинственная кибергруппа управляла сотнями узлов в сети Tor с 2017 года

Таинственная кибергруппа управляла сотнями узлов в сети Tor с 2017 года

Таинственная кибергруппа управляла сотнями узлов в сети Tor с 2017 года

Таинственная киберпреступная группировка с 2017 года запустила тысячи серверов на входном, среднем и выходном уровнях «луковой» сети Tor. Исследователи в области кибербезопасности считают, что это была попытка деанонимизировать пользователей Tor. Группе присвоили имя KAX17.

По данным специалистов, на пике своей активности злоумышленники контролировали более 900 вредоносных серверов, часть которых служили входными точками, ещё часть — узлами среднего уровня и точками выхода.

Как правило, задача таких узлов заключается в шифровании и анонимизации трафика пользователей, когда он входит и покидает сеть Tor. Этого получается добиться за счёт создания гигантской сети прокси-серверов, перебрасывающих друг другу соединение.

Стоит отметить, что добавленные в Tor-сеть серверы должны включать контактную информацию (например, адрес электронной почты). Это условие необходимо для того, чтобы администраторы сети и правоохранительные органы смогли связаться с операторами сервера в случае некорректной конфигурации или жалобы.

Тем не менее этим правилом часто пренебрегают и добавляют в сеть Tor серверы без указанной контактной информации, поскольку для приемлемого уровня конфиденциальности необходимо большое количество узлов.

Специалист по защите информации, известный под онлайн-псевдонимом Nusenu, не так давно обратил внимание на интересный паттерн Tor-узлов без контактной информации. Впервые своими наблюдениями эксперт поделился в 2019 году.

Присвоив операторам этих серверов имя KAX17, Nusenu позже обнаружил, что активность этой группы уходит корнями в 2017 год. Злоумышленники регулярно добавляли в сеть серверы без данных для связи. Большая часть этих серверов выступала в качестве входных точек и узлов среднего уровня, но были также и точки выхода.

Как пояснил Nusenu, это странное поведение, поскольку обычно киберпреступники используют именно выходные узлы, чтобы иметь возможность модифицировать пользовательский трафик. Так делала, например, группировка BTCMITM20.

У KAX17, судя по всему, задача другая — собрать побольше информации о подключающихся к сети пользователях. Согласно результатам исследования, в какой-то момент была 16-процентная вероятность подключиться к Tor через один из серверов злоумышленников, 35% — наткнуться на один из узлов KAX17 среднего уровня и 5% — стать жертвой на выходе из сети.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Т-Технологии тестирует формат bug bounty с упором на недопустимые события

Компания Т-Технологии (входит в экосистему Т-Банка) представила новую исследовательскую программу, которая выходит за рамки классического поиска уязвимостей. Теперь, помимо поиска технических багов, участникам предлагают тестировать так называемые «недопустимые события» — сценарии, проверяющие, насколько инфраструктура компании устойчива к критическим воздействиям.

Главная особенность программы в том, что она построена по принципу pay-for-impact: вознаграждение начисляется не просто за найденную уязвимость, а за демонстрацию сценария, который реально проверяет устойчивость ключевых систем.

Исследователям не ограничивают направления работы — они могут анализировать мобильные приложения, API, бизнес-логику, интеграции с партнёрами и другие части цифровой инфраструктуры.

Руководитель департамента информационной безопасности Т-Банка Дмитрий Гадарь объяснил идею так:

«Наша цель — не заменить классический баг-баунти, а дополнить его новым направлением. Мы хотим, чтобы исследователи искали комплексные сценарии, способные подтвердить защищённость систем на практике. Это делает безопасность более прозрачной и технологичной».

Пока программа работает в приватном режиме — принять участие в ней могут только приглашённые специалисты.

Ключевые параметры программы:

  • Платформа: Standoff Bug Bounty
  • Модель выплат: pay-for-impact — вознаграждение за воспроизведение PoC, приводящего к подтверждённому «недопустимому событию».
  • Размер выплат: до 3 млн рублей за выявление критического сценария, от 100 тыс. до 1,5 млн рублей — за промежуточные этапы в зависимости от сложности и влияния.
  • Промежуточные итоги: запланированы на 1 апреля 2026 года.

Что такое «недопустимые события»

Под ними понимаются сценарии, которые позволяют проверить, насколько критические компоненты инфраструктуры готовы к серьёзным инцидентам. Среди примеров:

  • попытки несанкционированного доступа к внутренним сервисам;
  • закрепление в базе данных с правами администратора;
  • внедрение кода в цепочку релизов продуктов;
  • обход систем защиты и мониторинга.

В чём новизна подхода

Новая программа делает акцент не на количестве уязвимостей, а на практической устойчивости инфраструктуры. Исследователи могут комбинировать разные векторы атак — от фронтенда до интеграций, — чтобы находить сложные цепочки. Все подтверждённые сценарии автоматически передаются в SOC и другие подразделения для проверки и усиления защиты.

«Для банков особенно важно не только находить уязвимости, но и подтверждать реальную защищённость систем. Мы надеемся, что такой подход станет стандартом для отрасли», — добавил Дмитрий Гадарь.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru