Злоумышленники угоняют серверы SSH, приобщая их к прокси-сети

Злоумышленники угоняют серверы SSH, приобщая их к прокси-сети

Злоумышленники угоняют серверы SSH, приобщая их к прокси-сети

Эксперты Akamai Technologies выявили проксиджекинг-кампанию, нацеленную на уязвимые SSH-серверы. Получив удаленный доступ к системе, взломщики запускают Docker-службу, которая расшаривает интернет-канал жертвы между пирами коммерческой прокси-сети.

Исследователи отмечают, что в отличие от криптоджекинга такие атаки более незаметны: они значительно меньше загружают ресурсы, снижая риск обнаружения. Цель в обоих случаях ясна: получение финансовой выгоды, только проксиджекеры используют не компьютерные мощности, а лишнюю пропускную способность жертвы, за что получают вознаграждение от владельца прокси-сервиса — такого как Peer2Profit или Honeygain.

Услуги проксирования трафика вполне легальны, ими часто пользуются, к примеру, рекламодатели. Участники прокси-сетей, на основе которых строятся такие сервисы, добровольно устанавливают на свои машины специализированный софт (proxyware), позволяющий делиться неиспользуемой пропускной способностью с другими устройствами.

 

К сожалению, такие инструменты и сервисы не застрахованы от абьюзов. Злоумышленники давно используют прокси для сокрытия источника вредоносного трафика и с охотой покупают услуги, обеспечивающие подобную анонимность.

В ходе проксиджекинг-кампании, попавшей на радары Akamai, взломщики после угона сервера устанавливали обфусцированный Bash-скрипт. При активации он ищет и завершает конкурирующие процессы, а затем запускает Docker-сервис для расшаривания интернет-доступа жертвы.

Анализ показал, что все необходимые зависимости вредонос получает со скомпрометированного веб-сервера, в том числе Curl-инструмент командной строки, замаскированный под файл CSS (csdark.css). Примечательно, что на этом сервере был также найден криптомайнер, то есть его дополнительно использовали для добычи цифровой валюты.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Опубликована программа CyberCamp 2025: более 40 докладов и киберучения

Организаторы онлайн-кэмпа по практической кибербезопасности представили программу мероприятия. В этом году CyberCamp пройдёт с 20 по 25 октября и объединит более 40 докладов, киберучения и дискуссии специалистов. 20 октября состоится церемония открытия, а с 21 по 23 октября — основные выступления.

Среди участников — эксперты из «Инфосистемы Джет», BI.ZONE, Positive Technologies, R-Vision, «Лаборатории Касперского», OZON Tech и других компаний.

Темы охватывают широкий спектр вопросов: от анализа APT-группировок и методов расследования инцидентов до практик защиты контейнерных приложений и поиска инфраструктуры злоумышленников.

  • 21 октября ожидаются доклады о группировке XDSpy, инструментах туннелирования, особенностях реагирования на инциденты и взаимодействии ИБ и PR.
  • 22 октября будут представлены исследования отчётов Bug Bounty, доклады об OSINT, уязвимостях в «1С: Предприятие» и построении сервисной модели управления ИБ.
  • 23 октября в программе — обсуждение защиты контейнерных приложений, DDoS-атак в CDN, пентеста FreeIPA и поиска C2-инфраструктуры.

24 и 25 октября пройдут киберучения и круглые столы. Участники обсудят вопросы расследования атак, построения устойчивой защиты, карьерные перспективы в сфере информационной безопасности и проблему профессионального выгорания.

Полная программа опубликована на сайте CyberCamp 2025. Участие бесплатное, трансляции и материалы будут доступны онлайн.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru