SystemBC Malware, VPS Sunucularını Suçlular İçin Yüksek Bant Genişliğine Sahip Proxy’ler Haline Getiriyor

Araştırmacılar, SystemBC botnet’in VPS sunucularını, dünya genelinde REM Proxy ve fidye yazılımı saldırılarını içeren suç operasyonları için proxy sunucularına dönüştürdüğünü ortaya koydular.

Siber güvenlik firması Lumen Technologies, “SystemBC” botneti hakkında yeni detaylar keşfetti. Her gün yaklaşık 1.500 sistemi tehlikeye atan ve 80’den fazla komuta-kontrol sunucusu (C2s) içeren bu geniş ağın, mağdurlarının neredeyse %80’inin büyük sağlayıcılardan sanal özel sunucular (VPS) olduğu belirtildi.

“Araştırmacılar, “SystemBC, malware tabanlı proxy ağlarındaki gibi yerleşik IP alanındaki cihazlar yerine VPS sistemlerini manipüle ederek, çok daha büyük miktarlarda ve daha uzun dönemler boyunca proxy hizmeti sunabilir,” dedi.

Araştırmacılar, bu enfekte olmuş VPS sistemlerinin, suç örgütlerinin operasyonlarını yürütmek için kullandıkları devasa miktarlarda kötü amaçlı trafiği üreten proxy sunucuları olarak işlev gördüğünü açıklıyorlar.

Botnet ayrıca, 20.000 Mikrotik router ve diğer açık proxy’leri pazarlayan büyük bir ağ olan REM Proxy’yi destekler.

Lumen, REM Proxy’nin bir proxy hizmeti olarak çalıştığını ve Morpheus ve TransferLoader gibi fidye yazılımı gruplarını desteklediğini açıklıyor, hızlı ve gizli seçeneklerin yanı sıra, şifre kırma için uygun IP adresleri sunan farklı proxy hizmetleri sunuyor.

“SystemBC, birden çok yıl boyunca sürekli aktivite sergileyerek ve operasyonel direnç göstererek çalışmıştır,” şeklinde konuşan Lumen, bu zararlı yazılımın 2019’da ilk belgelendiğinden bu yana suç örgütleri için önemli bir araç olduğunu belirtti. Her enfekte olmuş sunucunun ortalama 20 yamanmamış açığı bulunurken, bazılarında bu sayı 160’ın üzerine çıkmaktadır.

Zararlı yazılım, saldırganların trafiği enfekte olmuş bilgisayarlardan yönlendirmelerine olanak sağlayan bir proxy aracı olarak işlev görür. Operatörler, gizlilikten ziyade hacme odaklanır; bir testte, tek bir IP 24 saatte 16 gigabayttan fazla veri üretti.

Lumen, tüm dünya genelindeki ağı üzerinden SystemBC ve REM Proxy altyapısına ve bu altyapılardan gelen tüm trafiği engelledi. Araştırmacılar ayrıca, başkalarının kendilerini korumalarına yardımcı olmak için kompromis göstergeleri (IoC’ler) yayınladılar.

“Yeni altyapıyı, hedefleme aktivitesini ve genişleyen TTP’leri izlemeye devam edeceğiz; ve bulguları paylaşmak için güvenlik araştırma topluluğu ile işbirliği yapacağız,” rapor sonuçlandı.