Злоумышленники устанавливали Pawns.app на устройства сетевого периметра
В рамках злонамеренной кампании атаковали доступные из интернета устройства сетевого периметра по всему миру и установили на них программное обеспечение Pawns.app в интересах злоумышленника. Кампания, по всей видимости, была нацелена на цифровые видеорегистраторы и сетевые видеорегистраторы, в том числе устройства Hikvision и Dahua. Pawns.app ассоциируется с IPRoyal и предоставляет доступ к коммерческой инфраструктуре резидентных прокси. Скомпрометированные устройства могли стать узлами прокси-сети, через IP-адреса жертв могли направлять трафик не связанные с кампанией злоумышленники или другие клиенты этой сети.
Как используют резидентные прокси
Резидентные прокси направляют интернет-трафик через потребительские устройства. Благодаря этому вредоносные соединения могут выглядеть так, будто исходят из легитимных домашних или корпоративных сетей. Такой трафик может обходить мониторинг аутентификации, который помечает попытки входа с виртуальных частных серверов, коммерческих VPN или из неожиданных стран.
Легитимные схемы использования прокси-ПО отличаются от прокси-джекинга. В первом случае пользователи осознанно устанавливают программы или приложения и делятся пропускной способностью своих устройств в обмен на вознаграждение. Разработчики также могут встраивать в приложения наборы инструментов для разработки прокси-ПО и монетизировать пропускную способность устройств пользователей. При прокси-джекинге злоумышленник скрытно устанавливает такое программное обеспечение на скомпрометированные системы и монетизирует интернет-соединения жертв без их согласия.
Домашние IP-адреса в журналах аутентификации
При расследовании несанкционированного доступа в журналах входа в систему Entra ID обнаружили аутентификации с домашних IP-адресов, географически соответствовавших местоположению легитимных пользователей. Дальнейшая проверка показала, что несколько пользователей проходили аутентификацию через один и тот же IP-адрес домашнего прокси. Такой паттерн маловероятен при обычной активности.
Авторы рекомендуют организациям выявлять адреса домашних прокси в журналах аутентификации и сетевых журналах. Также они советуют расследовать случаи, когда несколько учётных записей используют один и тот же домашний IP-адрес, особенно если этот адрес одновременно связан со злонамеренным сканированием или другой подозрительной активностью.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
