Kaspersky Lab odkrywa ponad 70 tys. zhakowanych serwerów. Także z Polski

Przeczytaj także: Euro 2016: uwaga na fałszywe bilety na mecze

Wiele spośród nich przechowuje lub zapewnia dostęp do popularnych internetowych portali i usług konsumenckich, a na niektórych zainstalowane jest oprogramowanie służące do obsługi poczty e-mail, księgowości oraz terminali sprzedaży (PoS). Serwery te mogą zostać wykorzystane do ataków na infrastrukturę oraz stanowić „bazę” dla szerszych działań, podczas gdy ich właściciele, łącznie z rządami, korporacjami i uniwersytetami, w nikłym stopniu zdają sobie sprawę z tego, co się dzieje, lub w ogóle nie są tego świadomi.

xDedic to dobitny przykład nowego typu rynku cyberprzestępczego: takiego, który jest dobrze zorganizowany, wspierany i oferuje wszystkim klientom, od cyberprzestępców nowicjuszy po ugrupowania APT, szybki, tani i łatwy dostęp do legalnej infrastruktury, dzięki której ich przestępstwa mogą pozostać niewykryte przez jak najdłuższy czas.

Kaspersky Lab został poinformowany o istnieniu xDedic przez europejskiego dostawcę usług internetowych. Firmy pracowały wspólnie, aby zbadać sposób działania forum. Proces ten jest prosty i precyzyjny: hakerzy włamują się do serwerów, często za pomocą ataków metodą siłową, i dostarczają dane uwierzytelniające do serwisu xDedic. Następnie serwery są sprawdzane pod kątem konfiguracji, pamięci, oprogramowania, historii przeglądanych stron i innych aspektów – wszystkiego, czego klienci mogą chcieć się dowiedzieć przed zakupem. Na koniec zhakowane maszyny są dodawane do coraz większego wykazu online, który oferuje m.in. dostęp do:

• serwerów należących do sieci rządowych, korporacji i uniwersytetów;
• serwerów, które przechowują pewne strony internetowe i usługi lub oferują do nich dostęp, w tym portale poświęcone grom, zakładom, portale randkowe, sklepy online, serwisy związane bankowością i płatnością online, usługi telefonii komórkowej, strony dostawców usług itd.;
• serwerów z zainstalowanym oprogramowaniem, które może ułatwić przeprowadzenie ataku, łącznie z bezpośrednim oprogramowaniem pocztowym, finansowym i obsługującym transakcje płatnicze (PoS).

Za jedyne 6 dolarów za serwer członkowie forum xDedic mogą uzyskać dostęp do wszystkich danych znajdujących się na maszynie, jak również wykorzystać ją jako platformę dla dalszych ataków z użyciem szkodliwego oprogramowania. Mogą one obejmować ataki ukierunkowane, szkodliwe oprogramowanie, ataki DDoS, phishing, socjotechnikę oraz ataki z wykorzystaniem oprogramowania adware.
Legalni właściciele serwerów, w tym sieci rządowe, korporacje i uniwersytety, często nie są świadomi, że nastąpiło jakiekolwiek włamanie do ich infrastruktury IT lub wykorzystanie jej do szkodliwych działań. Co więcej, po przeprowadzeniu swojej kampanii cyberprzestępcy mogą ponownie wystawić dany serwer na sprzedaż i cały proces może rozpocząć się od nowa.

Rynek xDedic prawdopodobnie zaczął działać w 2014 r., a jego popularność znacznie wzrosła od połowy 2015 r. W maju 2016 r. oferował na sprzedaż 70 624 serwerów ze 173 państw, wystawionych w imieniu 416 różnych sprzedających. Wśród 10 najbardziej dotkniętych państw znalazły się: Brazylia, Chiny, Rosja, Indie, Hiszpania, Włochy, Francja, Australia, Afryka Południowa i Malezja. W przypadku serwerów zlokalizowanych w Polsce forum xDedic oferuje dostęp do niemal 1 300 maszyn.