Il proxyjacking: la nuova truffa dei criminali informatici

Editoriale e commenti aggiuntivi di Tricia Howard

Nel panorama delle minacce informatiche in continua evoluzione, i criminali cercano sempre più strategie innovative per massimizzare i loro guadagni con il minimo sforzo. L'esempio più recente è stato scoperto a inizio giugno all'interno di uno degli honeypot distribuiti a livello globale del SIRT di Akamai : il proxyjacking utilizzato a scopo di lucro.

Nonostante il concetto di proxyjacking non sia nuovo, la capacità di monetizzarlo facilmente come affiliato delle aziende dominanti, invece, lo è. La facilità di acquisire guadagni finanziari è ciò che rende questo vettore una minaccia sia per le aziende che per il  consumatore medio, aumentando la consapevolezza e, possibilmente, la mitigazione. Il panorama delle minacce emergenti è segnato da criminali come Meris e Anonymous Sudan e, quando tale panorama fa coppia con la notevole ascesa di attacchi di livello 7 propagati tramite reti proxy, il valore monetario è sostanziale grazie all'accumulo di grandi quantità di proxy utilizzabili.   

In questo post, approfondiremo una nuova campagna di proxyjacking scoperta dai ricercatori addetti alla sicurezza del nostro team SIRT. Si tratta di una campagna attiva, nell'ambito della quale un criminale sfrutta una connessione SSH per accedere da remoto, eseguendo script dannosi che includono in maniera furtiva i server di una vittima in una rete proxy peer-to-peer (P2P), come Peer2Proxy o Honeygain. 

Ciò consente al criminale di monetizzare l'ulteriore larghezza di banda di vittime del tutto ignare, utilizzando soltanto una minima parte delle risorse richieste per il cryptomining e con meno probabilità di essere scoperto. 

Descriveremo i dettagli tecnici della campagna e analizzeremo il profilo di minaccia del proxyjacking utilizzato a scopo di lucro. Inoltre, forniremo utili suggerimenti per la mitigazione di questa minaccia nella speranza di portare in primo piano questo nuovo caso di utilizzo di una una tecnica ormai datata.

Il cryptojacking è diventato famoso nel mondo. Generalmente, le risorse delle vittime vengono rubate e cumulate in un pool di mining in cambio di un riscatto da versare al criminale. Una tecnica meno nota, più diffusa di recente, è il proxyjacking. 

Con il proxyjacking, il criminale non ruba semplicemente le risorse delle vittime, ma sfrutta anche la larghezza di banda da loro inutilizzata. Il sistema della vittima viene utilizzato in maniera subdola per eseguire vari servizi come nodo del proxy P2P, di recente monetizzato dai criminali tramite organizzazioni come Peer2Profit o Honeygain. Queste organizzazioni offrono all'utente medio l'opportunità di ricevere denaro in cambio di un'ulteriore larghezza di banda: una proposta allettante e apparentemente lecita per singoli e aziende. 

Tuttavia, questi siti spesso non chiedono da dove proviene il nuovo nodo del proxy ed è proprio da qui che inizia l'illegittimità. Nonostante il proxyjacking sia ormai diffuso da tempo, solo di recente lo si è visto utilizzato esclusivamente come metodo per generare profitti, come osservato in questa campagna.

Nella campagna trattata in questo post del blog, la nostra attenzione non ricade sui classici proxy "aperti", poiché organizzazioni come Peer2Profit e Honeygain affermano di condividere i propri proxy soltanto con partner teoricamente controllati. Gli incentivi offerti da queste organizzazioni per sostenere il contributo alle reti proxy, comunque, non solo attirano installazioni lecite per suscitare entrate passive, ma anche quelle che cercano di sfruttare il sistema a spese di altre persone.

Allo stesso modo, i servizi effettivamente offerti di certo attirano sia aziende legittime che criminali. Questo caso, pertanto, funge da forte richiamo rispetto alle potenziali conseguenze per la sicurezza che questi servizi apparentemente vantaggiosi comportano.

Una volta decodificato correttamente lo script Bash mascherato, abbiamo potuto vedere chiaramente il modus operandi dell'autore dell'attacco di proxyjacking. Registrando questo script decodificato, siamo riusciti ad analizzare con meticolosità la natura e la sequenza delle operazioni effettuate dal criminale.

Lo scenario cambia drasticamente quando un'applicazione viene utilizzata senza la consapevolezza o il consenso dell'utente, sfruttandone, di fatto, le risorse. È qui che un atto apparentemente innocuo, come l'utilizzo di questi servizi, entra nel regno del crimine informatico. Il criminale, controllando vari sistemi e le rispettive larghezze di banda, di fatto aumenta il suo potenziale profitto derivante dal servizio, il tutto a spese della vittima designata.

Questo scenario somiglia in modo impressionante alla differenza tra cryptomining e cryptojacking. Il cryptomining in sé e per sé è un'attività legittima, nella quale le persone utilizzano risorse computazionali per estrarre criptovalute. Tuttavia, quando la cosa evolve in cryptojacking, prevede l'utilizzo non autorizzato delle risorse di elaborazione di qualcun altro per il mining, trasformando, così, un'attività dapprima innocua in dannosa.

Questa scoperta si è rivelata per noi molto importante poiché è ragionevole pensare che i criminali, da sempre fedeli al cryptojacking come fonte di guadagno, adesso decidano di affidarsi al proxyjacking, o quantomeno di integrare tale attività con il proxyjacking. Vedere questi due file eseguibili ospitati sullo stesso sito web violato è stata solo una piccola prova di quali saranno i soggetti che comprenderanno subito il valore di questa nuova strategia di monetizzazione.

L'emergere del proxyjacking a scopo di lucro segue la stregua di molte altre forme di strategie di criminali che riescono a monetizzare le loro attività tramite la violazione di dispositivi. Il confronto più ovvio è quello con il cryptojacking, ma la strategia di prendere un servizio legittimo e abusare della sua redditività mediante mezzi criminali risale a tempi ancora più lontani. 

Un altro ottimo esempio è il fatto che lo spam ha avuto origine in gran parte con il marketing di affiliazione, una prassi molto comune persino oggigiorno. Alcune aziende erano disposte a pagare subito un utente a patto che dirottasse clienti al proprio sito, mentre molti ignoravano il fatto che lo si facesse servendosi dello spam. Fin quando esisteranno questi incentivi e le aziende saranno disposte a ignorare l'etica delle fonti, le industrie criminali si baseranno sullo sfruttamento di queste pratiche. 

C'è un altro aspetto relativo all'accumulo di proxy che lo rende particolarmente importante e preoccupante: Il proxyjacking, in sostanza, risolve l'unico importante svantaggio del cryptojacking: il rilevamento a causa dell'elevato utilizzo di CPU. Poiché necessita di una quantità minima di risorse CPU e si basa, invece, sulla larghezza di banda Internet inutilizzata, il proxyjacking è in grado di eludere alcuni dei mezzi di rilevamento precedentemente utilizzati per il cryptojacking. 

Da un punto di vista aziendale, un minore utilizzo di CPU comporta un'attenzione ancora maggiore verso le soluzioni IDS/IPS, come mezzi di mitigazione del proxyjacking. L'utente comune deve implementare delle solide basi di sicurezza essenziali, come l'uso di password complesse da conservare in un gestore delle password, l'applicazione di patch alle applicazioni e l'attivazione dell'autenticazione multifattore (MFA), se possibile. Gli utenti più esperti di sicurezza dei computer, inoltre, possono restare vigili prestando attenzione ai container attualmente in esecuzione, monitorando il traffico di rete in cerca di anomalie e persino effettuando regolari scansioni per controllare che non ci siano vulnerabilità.

In questa particolare campagna abbiamo assistito all'utilizzo del server SSH per ottenere accesso a un server e installare un container Docker, ma anche le campagne precedenti hanno sfruttato le vulnerabilità web. Se, controllando i vostri servizi Docker locali in esecuzione, scoprite che sul vostro sistema sono in condivisione risorse indesiderate, è bene che indaghiate su queste intrusioni, stabilendo il modo in cui è stato caricato lo script ed effettuando una pulizia approfondita. 

Accertatevi di controllare eventuali altri segni di intrusione o violazione. Cambiate tutte le password, assicuratevi che tutti i software siano aggiornati e valutate se implementare o meno una policy di sicurezza più rigorosa. Inoltre, è bene pensare di rivolgersi ai servizi professionali di risposta agli incidenti qualora il sistema interessato sia sensibile o contenga dati preziosi.

Oltre alla natura subdola di questi attacchi, i proxy aperti rappresentano uno strumento cruciale nell'arsenale del crimine informatico, con organizzazioni criminali come Meris e Anonymous Sudan, che dimostrano quanto possano essere devastanti e dolorosi gli attacchi elaborati da proxy. Con un aumento continuo degli attacchi di livello 7, questo problema non farà che aumentare ancora e la possibilità di affidarsi a queste aziende di reti proxy per la gestione corretta dei partner è un meccanismo di difesa molto scarso, oltre che ad essere una debole garanzia.

Le vecchie tecniche restano efficaci, specialmente se ad esse si legano dei nuovi risultati. Il proxyjacking a scopo di lucro ne è un grande esempio e siamo certi che vedremo nascere nuove tattiche, incentrate, nello specifico, su questa classe di attacchi. Questo vettore evidenzia, ancora una volta, la necessità di basi solide. Le prassi di sicurezza standard, quali le password complesse, la gestione delle patch e le registrazioni meticolose, restano un meccanismo di prevenzione efficace.

Sia che il proxyjacking stia minacciando la vostra azienda o le vostre risorse personali, è fondamentale tenere alta la guardia. Come sempre, il team SIRT di Akamai continuerà a monitorare queste minacce e molte altre e fornirà tutte le informazioni eventualmente necessarie. Per ulteriori ricerche sulla sicurezza, seguiteci su Twitter.