Lokalne i chmurowe serwery firm są wykorzystywane przez cyberprzestępców do nielegalnych celów i udostępniane przez nich na wynajem w ramach wyrafinowanych sposobów na zarabianie pieniędzy, wynika z drugiego z serii trzech raportów o usługach hostingowych dostępnych w cyberpodziemiu, przygotowanego przez firmę Trend Micro.
Najnowsze dane wskazują m.in., że firmowi specjaliści ds. bezpieczeństwa IT powinni zwracać szczególną uwagę na kopanie kryptowalut. Zjawisko to samo w sobie nie musi zakłócać funkcjonowania firmy ani powodować dla niej strat finansowych. Niemniej oprogramowanie do kopania kryptowalut służy zwykle do czerpania korzyści z bezczynnych serwerów, gdy przestępcy są na etapie planowania bardziej dochodowych przedsięwzięć. Chodzi tu na przykład o wydobywanie cennych danych, sprzedawanie dostępu do serwerów z myślą o ich wykorzystaniu do dalszych przestępstw lub przygotowywanie się do ukierunkowanych ataków ransomware. Każdy serwer, na którym zostanie zauważone kopanie kryptowalut, powinien zostać oznaczony jako system wymagający natychmiastowej analizy i działań.
– Od dedykowanych usług hostingu zabezpieczonego przed organami ścigania (tzw. bulletproof hosting) po anonimizację usług, udostępnianie nazw domen i wykorzystywanie działających w pełni legalnie zasobów do celów przestępczych – w cybernetycznym podziemiu można znaleźć szeroką ofertę w zakresie infrastruktury, pozwalającą zainteresowanym zarabiać na różne sposoby — mówi cytowany w komunikacie Bob McArdle, dyrektor ds. badania cyberzagrożeń w firmie Trend Micro.
Na naruszenia bezpieczeństwa i wykorzystywanie w podziemnej infrastrukturze hostingowej narażone są zwłaszcza serwery chmurowe, ponieważ nie zawsze dysponują one ochroną na poziomie dorównującym serwerom w środowiskach lokalnych, wynika z zebranych przez Trend Micro danych.
Cyberprzestępcy mogą szukać luk w zabezpieczeniach w oprogramowaniu serwera, próbować zdobyć dane uwierzytelniające poprzez ataki oparte na algorytmach siłowych (ang. brute force attack) lub wykradać dane logowania i instalować szkodliwe oprogramowanie za pomocą phishingu, wyliczają eksperci Trend Micro. Mogą nawet zaatakować oprogramowanie do zarządzania infrastrukturą (klucze interfejsów API w chmurze), aby tworzyć nowe instancje maszyn wirtualnych lub udostępniać zasoby. Po udanym włamaniu takie chmurowe zasoby serwerowe mogą być sprzedawane na podziemnych forach, specjalnych platformach handlowych, a nawet w sieciach społecznościowych, i używane w różnych atakach.
W raporcie Trend Micro wymieniane są najważniejsze dostępne obecnie podziemne usługi hostingowe. Podano też szczegółowe informacje techniczne na temat ich działania i sposobów wykorzystywania ich przez przestępców. Zawarto w nim również dokładny opis typowego cyklu życia serwera, którego bezpieczeństwo zostało naruszone – od pierwszego włamania po finalny atak.
W raporcie omówiono też nowe trendy w zakresie podziemnych usług związanych z infrastrukturą, takie jak wykorzystywanie usług telefonicznych i infrastruktury satelitarnej do celów przestępczych, a także „pasożytniczy” wynajem zasobów obliczeniowych, w tym ukryte połączenia RDP (Remote Desktop Protocol) i VNC (Virtual Network Computing).
