Вредоносное ПО SystemBC превращает серверы VPS в прокси-серверы с высокой пропускной способностью для преступников

Исследователи выяснили, что ботнет SystemBC превращает VPS-серверы в прокси-серверы для преступных операций, включая REM Proxy и атаки с использованием вымогательского ПО по всему миру.

Компания в области кибербезопасности Lumen Technologies обнаружила новые подробности о ботнете «SystemBC». Эта огромная сеть, состоящая из более чем 80 серверов управления и контроля (C2s), ежедневно взламывает около 1500 систем. Исследователи утверждают, что почти 80% этих жертв — это виртуальные частные серверы (VPS) от крупных провайдеров.

«Манипулируя системами VPS вместо устройств в резидентном IP-пространстве, что типично для сетей прокси, основанных на вредоносном ПО, SystemBC может предложить прокси с огромным объемом трафика на длительные периоды времени», — сказали исследователи.

Исследователи объясняют, что эти зараженные системы VPS функционируют как прокси-серверы, генерируя огромное количество вредоносного трафика, который преступные организации используют для проведения своих операций.

Ботнет также поддерживает REM Proxy, большую сеть, в которой продвигаются 20 000 роутеров Mikrotik и другие открытые прокси.

Lumen объясняет, что REM Proxy работает как прокси-сервис, поддерживающий группы рансомвейра, такие как Morpheus и TransferLoader, предлагая различные прокси-услуги, включая быстрые и скрытные варианты, а также доступные по цене IP-адреса для взлома паролей.

«SystemBC продемонстрировала устойчивую активность и оперативную устойчивость на протяжении нескольких лет», — сказала Lumen, отметив, что вредоносное ПО, впервые документированное в 2019 году, остается ключевым инструментом для преступных групп. Каждый зараженный сервер в среднем имеет 20 незапатченных уязвимостей, некоторые из которых показывают более 160.

Вредоносное ПО функционирует как прокси-инструмент, позволяющий атакующим перенаправлять трафик через зараженные компьютеры. Операторы сосредоточены на объеме, а не на скрытности; в одном тесте один IP-адрес генерировал более 16 гигабайт данных за 24 часа.

Lumen заблокировала весь трафик в системе SystemBC и инфраструктуре REM Proxy по всей своей глобальной сети. Исследователи также опубликовали индикаторы компрометации (IoCs), чтобы помочь другим защититься.

«Мы продолжим отслеживать новую инфраструктуру, активность целевой атаки и расширять TTPs; и сотрудничать с сообществом исследователей безопасности для обмена результатами», — заключили авторы отчета.