✔Исследователи перехватили контроль над 4000 бэкдоров - «Новости»

Эксперты The Shadowserver Foundation и WatchTowr Labs зарегистрировали и перехватили управлением над множеством доменов с истекшим сроком регистрации. Эти домены использовались для управления более чем 4000 заброшенных, но все еще активных бэкдоров, а теперь их управляющая инфраструктура подверглась sinkhole'у. Исследователи рассказывают, что некоторые из вредоносных программ (веб-шеллов) были развернуты на серверах правительств и учебных заведений, и были готовые выполнять команды от любого, кто захватит контроль над нужными доменами. Однако специалисты предотвратили попадание доменов и систем жертв в руки злоумышленников. Аналитики WatchTowr начали искать такие домены, связанные с различными веб-шелами, и приобрели все, срок регистрации которых уже истек, по сути, перехватив контроль над бэкдорами. В итоге заброшенные, но до сих пор активные вредоносы стали отправлять запросы, которые позволили экспертам идентифицировать по крайней мере некоторых жертв. Так, зарегистрировав более 40 доменов, исследователи получили данные от более чем 4000 взломанных систем, пытавшихся связаться со своими управляющими серверами. Среди множества взломанных машин числятся системы в правительственной инфраструктуре Китая (включая суды), скомпрометированная судебная система правительства Нигерии, а также системы в правительственной сети Бангладеш. Также зараженные устройства были выявлены в образовательных учреждениях Таиланда, Китая и Южной Кореи. Некоторые домены В результате было найдено несколько типов бэкдоров, включая классический r57shell, более продвинутый c99shell, который предлагает возможности управления файлами и брутфорса, а также веб-шелл China Chopper, который часто связывают с различными APT-группировками. Также в отчете упоминается бэкдор, вероятно, связанный с хак-группой Lazarus. Хотя уточняется, что это, скорее всего, повторное использование инструмента другими преступниками. Специалисты WatchTowr передали управление захваченными доменами The Shadowserver Foundation, чтобы исключить возможность их захвата в будущем. В настоящее время Shadowserver блокирует весь трафик, отправляемый со взломанных систем на эти домены.