Holenderskie władze ogłosiły rozbicie ogromnego botnetu, który według doniesień kontrolował co najmniej 17 milionów zainfekowanych urządzeń, w tym komputery, tablety, smartfony i urządzenia Internetu rzeczy.
Jak podały holenderska policja i Narodowe Centrum Cyberbezpieczeństwa, jako zaplecze infrastrukturalne botnetu wykorzystywano ponad 200 serwerów zlokalizowanych w Holandii. Władze przejęły część tej infrastruktury od dostawcy usług hostingowych, po czym dostawca miał wyłączyć platformę ze względu na jej wykorzystywanie do działalności przestępczej.
Choć botnet nie został oficjalnie nazwany w komunikacie publicznym, lokalne media powiązały operację z Asocks, usługą rezydencjalnych serwerów proxy.
Rozbicie botnetu uwypukla narastający problem bezpieczeństwa: wykorzystywanie sieci rezydencjalnych proxy i przejętych urządzeń konsumenckich do ukrywania złośliwego ruchu.
Czym jest botnet?
Botnet to sieć zainfekowanych urządzeń kontrolowanych przez atakujących.
Mogą to być między innymi:
- komputery osobiste
- smartfony
- tablety
- telewizory smart
- routery
- kamery
- urządzenia IoT
- inny sprzęt podłączony do internetu
Po przejęciu urządzenie można kontrolować zdalnie, bez wiedzy jego właściciela. Atakujący mogą wtedy wykorzystać zainfekowany system do przekierowywania ruchu, przeprowadzania ataków, ukrywania swojej tożsamości lub wspierania działalności przestępczej.
W wielu przypadkach użytkownicy nie zdają sobie sprawy, że ich urządzenie jest częścią botnetu. Urządzenie może nadal działać normalnie, ale w tle bywa wykorzystywane do złośliwych działań.
Dlaczego botnety rezydencjalnych proxy są niebezpieczne
Rezydencjalne proxy kierują ruch przez prawdziwe domowe połączenia internetowe.
Usługi proxy mają uzasadnione zastosowania, takie jak testowanie witryn, sprawdzanie treści objętych ograniczeniami geograficznymi czy ochrona prywatności. Ta sama technologia może jednak zostać nadużyta przez przestępców.
Gdy atakujący kierują złośliwy ruch przez zainfekowane urządzenia domowe, trudniej go zablokować lub wyśledzić, ponieważ wygląda tak, jakby pochodził od zwykłych użytkowników domowych, a nie z podejrzanych centrów danych.
Może to służyć do:
- ataków typu credential stuffing
- prób przejęcia kont
- scrapingu stron internetowych
- oszustw
- spamu
- infrastruktury phishingowej
- ataków typu denial-of-service
- skanowania podatnych systemów
- ukrywania infrastruktury atakujących
Dla obrońców oznacza to wyzwanie. Blokowanie wszystkich rezydencjalnych adresów IP zwykle nie jest realne, ponieważ z tych sieci łączą się również zwykli, uprawnieni użytkownicy.
Skala rozbicia botnetu
Podawana skala tego botnetu jest znacząca.
Sieć 17 milionów zainfekowanych urządzeń daje atakującym ogromną moc i elastyczność. Nawet jeśli w danej chwili aktywna jest tylko ich część, botnet nadal może stanowić rozległą, rozproszoną platformę dla złośliwych działań.
Infrastruktura zaplecza również była pokaźna: operację wspierało ponad 200 serwerów zlokalizowanych w Holandii.
Pokazuje to, że współczesne botnety to nie tylko infekcje złośliwym oprogramowaniem na urządzeniach końcowych. Zależą one również od infrastruktury serwerowej, dostawców hostingu, systemów zarządzania proxy, modeli płatności i portali dostępowych dla klientów.
Wyłączenie infrastruktury zaplecza może zatem sparaliżować całą przestępczą usługę.
Możliwy związek z Asocks i PROXYLIB
Choć władze nie wskazały botnetu z nazwy, lokalne media powiązały jego rozbicie z Asocks, firmą oferującą rezydencjalne, mobilne i korporacyjne usługi proxy.
W 2024 roku zespół Satori Threat Intelligence firmy HUMAN zidentyfikował kampanię o nazwie PROXYLIB, w której urządzenia z Androidem były infekowane oprogramowaniem typu proxyware powiązanym z LumiApps i Asocks.
Proxyware to oprogramowanie, które zamienia urządzenie w węzeł proxy. W niektórych przypadkach użytkownicy świadomie instalują proxyware w zamian za pieniądze lub nagrody. W innych funkcje proxy mogą być dołączane do aplikacji bez jasnej informacji dla użytkownika albo instalowane w wyniku złośliwych działań.
Tworzy to szarą strefę, w której komercyjne sieci proxy, zgoda użytkowników, złośliwe oprogramowanie i cyberprzestępczość mogą się nakładać.
Jak urządzenia stają się częścią botnetu
Urządzenia mogą być wciągane do botnetów na wiele sposobów.
Do typowych metod infekcji należą:
- złośliwe aplikacje
- fałszywe aktualizacje oprogramowania
- przejęte rozszerzenia przeglądarki
- słabe lub domyślne hasła
- podatne routery
- nieaktualne oprogramowanie sprzętowe urządzeń IoT
- linki phishingowe
- pliki do pobrania z dołączonym trojanem
- wystawione usługi dostępu zdalnego
- niezabezpieczone sieci Wi-Fi
Gdy atakujący uzyskają dostęp, mogą zainstalować złośliwe oprogramowanie lub komponenty proxy umożliwiające zdalną kontrolę.
Urządzenia IoT są szczególnie atrakcyjne, ponieważ wiele z nich jest zaniedbanych, rzadko aktualizowanych i często chronionych słabymi lub niezmienionymi hasłami domyślnymi.
Dlaczego urządzenia IoT są słabym ogniwem
Urządzenia Internetu rzeczy są wszędzie: kamery, routery, inteligentne gniazdka, czujniki, dzwonki do drzwi, telewizory, drukarki i urządzenia sieciowe.
Wiele z nich jest podłączonych do internetu, ale poświęca się im niewiele uwagi pod kątem bezpieczeństwa.
Typowe słabości urządzeń IoT to:
- nieaktualne oprogramowanie sprzętowe
- domyślne hasła administratora
- wystawione interfejsy zarządzania
- słabe uwierzytelnianie
- brak automatycznych aktualizacji
- słabe wsparcie ze strony producenta
- niezabezpieczony dostęp zdalny
- brak monitorowania
Po przejęciu urządzenie IoT może pozostawać zainfekowane przez długi czas, ponieważ użytkownicy rzadko sprawdzają w nich logi lub stan zabezpieczeń.
To czyni systemy IoT idealnymi dla operatorów botnetów.
Przestępcze zastosowania botnetów
Botnet tej skali może wspierać wiele rodzajów złośliwej działalności.
Atakujący mogą wykorzystywać zainfekowane urządzenia do:
- ukrywania źródła ataków
- przeprowadzania rozproszonych ataków typu denial-of-service
- skanowania internetu w poszukiwaniu podatnych systemów
- ataków na hasła
- automatyzacji oszustw
- scrapingu stron internetowych
- omijania zabezpieczeń antybotowych
- przekazywania ruchu phishingowego
- wspierania infrastruktury złośliwego oprogramowania
- kierowania ruchu dla innych grup przestępczych
Botnety są często wynajmowane lub sprzedawane jako usługa. Oznacza to, że jedna grupa przestępcza może zbudować infrastrukturę, a inne płacą za korzystanie z niej.
Zakłócenie działania takich sieci może więc jednocześnie uderzyć w wiele różnych operacji cyberprzestępczych.
Dlaczego to rozbicie botnetu ma znaczenie
Rozbicie botnetu jest ważne, ponieważ uderza w warstwę infrastruktury cyberprzestępczości.
Usunięcie złośliwych serwerów nie oczyszcza automatycznie wszystkich zainfekowanych urządzeń, ale może uniemożliwić atakującym kontrolowanie botnetu lub sprzedaż dostępu do niego.
Jest to również sygnał dla dostawców hostingu, operatorów proxy i cyberprzestępców korzystających z tych usług: infrastrukturę wykorzystywaną do nadużyć można zidentyfikować i unieszkodliwić.
W przypadku użytkowników, których urządzenia były zainfekowane, rozbicie botnetu może tymczasowo zatrzymać złośliwą aktywność, ale podstawowa słabość urządzenia może nadal istnieć. Jeśli złośliwe oprogramowanie się utrzyma lub urządzenie pozostanie podatne, może zostać później wciągnięte do innego botnetu.
Co powinni zrobić użytkownicy
Użytkownicy domowi powinni podjąć podstawowe kroki, aby zmniejszyć ryzyko włączenia swoich urządzeń do botnetów.
Zalecane działania obejmują:
- aktualizuj systemy operacyjne
- aktualizuj oprogramowanie sprzętowe routerów i urządzeń IoT
- zmień hasła domyślne
- używaj silnych, unikalnych haseł
- włącz uwierzytelnianie dwuskładnikowe wszędzie, gdzie jest dostępne
- instaluj aplikacje wyłącznie z zaufanych źródeł
- usuń nieużywane aplikacje i rozszerzenia przeglądarki
- zabezpiecz sieć Wi-Fi za pomocą WPA2 lub WPA3
- unikaj nieznanych plików APK i nieoficjalnych sklepów z aplikacjami
- okresowo restartuj routery i urządzenia IoT
- sprawdzaj, czy w sieci domowej nie ma nieznanych urządzeń
Szczególną uwagę warto zwrócić na routery, kamery i urządzenia z Androidem, ponieważ są to częste cele botnetów.
Co powinny zrobić organizacje
Organizacje powinny również uwzględniać botnety i nadużycia proxy w swoim modelu zagrożeń.
Zalecane działania obejmują:
- monitorowanie prób logowania z sieci rezydencjalnych proxy
- wykrywanie wzorców ataków typu credential stuffing
- stosowanie ograniczania liczby żądań (rate limiting) dla punktów końcowych uwierzytelniania
- wymuszanie MFA
- blokowanie znanej infrastruktury proxy i botnetów tam, gdzie to właściwe
- monitorowanie nietypowego ruchu z firmowych urządzeń mobilnych lub IoT
- utrzymywanie widoczności zasobów, takich jak routery, kamery i urządzenia brzegowe
- szybkie łatanie systemów dostępnych z internetu
- segmentowanie sieci IoT względem systemów biznesowych
- analizowanie wzorców ruchu proxy stron trzecich w systemach antyfraudowych
Botnety są często wykorzystywane jako infrastruktura do ataków na firmy, dlatego obrońcy powinni skupiać się na zachowaniu, a nie tylko na znanych złośliwych adresach IP.
Podsumowanie
Rozbicie przez Holandię botnetu obejmującego co najmniej 17 milionów zainfekowanych urządzeń pokazuje, jak duży i sprofesjonalizowany stał się ekosystem botnetów proxy.
Przestępcy nie zawsze potrzebują własnych serwerów, aby ukrywać ataki. Mogą kierować ruch przez zainfekowane urządzenia domowe, sprawiając, że złośliwa aktywność wygląda, jakby pochodziła od zwykłych użytkowników.
Tworzy to ryzyko dla wszystkich: właścicieli urządzeń, firm, dostawców usług i platform internetowych.
Najlepszą obroną jest połączenie działań organów ścigania, odpowiedzialnych praktyk hostingowych, higieny urządzeń, silnego uwierzytelniania, regularnego łatania oraz lepszej widoczności zasobów dostępnych z internetu i urządzeń IoT.
Botnety żerują na zapomnianych urządzeniach. Aktualizowanie, monitorowanie i odpowiednie zabezpieczanie systemów pozostaje jednym z najprostszych sposobów na ograniczenie ich siły.
