(Nguồn ảnh: Shutterstock)
Theo một nghiên cứu mới, các nhà cung cấp dịch vụ lưu trữ chống mã độc đang cho tội phạm mạng thuê cơ sở hạ tầng giá rẻ, cung cấp cho chúng các máy ảo mà chúng có thể sử dụng trong các cuộc tấn công mã độc tống tiền.
Một báo cáo từ Sophos đã giải thích cách các dịch vụ hợp pháp bị lợi dụng để thực hiện các cuộc tấn công trên quy mô lớn mà không cần xây dựng cơ sở hạ tầng tùy chỉnh.
Trong quá trình điều tra một số vụ tấn công bằng mã độc tống tiền, nhóm nghiên cứu phát hiện ra nhiều kẻ tấn công đang sử dụng máy chủ Windows có tên máy chủ giống hệt nhau (tên được gán cho một thiết bị trên mạng). Vì rõ ràng là không thể chỉ một kẻ tấn công thực hiện tất cả các vụ tấn công đó, họ đã điều tra sâu hơn và phát hiện ra rằng các hệ thống này thực chất là các máy ảo được tạo từ cùng một mẫu Windows dựng sẵn.
Lạm dụng thông qua dịch vụ lưu trữ chống đạn.
Những mẫu này được cung cấp bởi ISPsystem VMmanager, một nền tảng ảo hóa hợp pháp và được sử dụng rộng rãi trong giới nhà cung cấp dịch vụ lưu trữ. Khi tạo một máy ảo mới, các mẫu này không ngẫu nhiên hóa tên máy chủ, dẫn đến hàng nghìn máy chủ không liên quan trên internet trông gần như giống hệt nhau.
Hiện nay, Sophos cho biết tội phạm mạng đang khai thác điều này trên quy mô lớn thông qua các nhà cung cấp dịch vụ lưu trữ "chống đạn " (các công ty lưu trữ không phản hồi các yêu cầu gỡ bỏ hoặc báo cáo lạm dụng) cho thuê máy chủ dựa trên VMmanager cho bọn tội phạm.
Sử dụng Shodan, các nhà nghiên cứu đã tìm thấy hàng chục nghìn máy chủ được kết nối internet có cùng tên máy chủ. Gần như tất cả (95%) trong số đó đến từ một số ít mẫu Windows, và nhiều máy chủ được kích hoạt KSM (Windows chạy miễn phí trong 180 ngày mà không cần giấy phép).
Sophos cho biết các máy chủ này có liên quan đến các hoạt động độc hại lớn: LockBit, Conti, BlackCat (ALPHV), Qilin, TrickBot, Ursnif, RedLine, NetSupport và nhiều hoạt động khác. Họ cũng cho biết phần lớn cơ sở hạ tầng được liên kết với các công ty lưu trữ cụ thể, và nêu đích danh hai cái tên - Stark Industries Solutions và First Server Limited.
Cả hai đều có vẻ liên quan đến các nhóm khủng bố do nhà nước Nga bảo trợ và từng bị EU và Anh trừng phạt trong quá khứ.
