Группа программ-вымогателей использует виртуальные машины ISPsystem для скрытой доставки вредоносного ПО.

[admin]

Операторы программ-вымогателей размещают и распространяют вредоносные программы в больших масштабах, используя виртуальные машины (ВМ), предоставляемые компанией ISPsystem, легитимным поставщиком услуг по управлению виртуальной инфраструктурой.


Исследователи из компании Sophos, специализирующейся на кибербезопасности, заметили эту тактику во время расследования недавних инцидентов с программой-вымогателем WantToCry. Они обнаружили, что злоумышленники использовали виртуальные машины Windows с идентичными именами хостов, что указывает на использование шаблонов по умолчанию, созданных VMmanager от ISPsystem.


В ходе более тщательного изучения исследователи обнаружили, что одни и те же имена хостов присутствовали в инфраструктуре нескольких операторов программ-вымогателей, включая LockBit, Qilin, Conti, BlackCat/ALPHV и Ursnif, а также в различных кампаниях вредоносного ПО, в которых участвовали программы-похитители информации RedLine и Lummar.

Местоположение устройств, использующих одно и то же имя хоста.
Источник: Sophos

ISPsystem — это легитимная компания-разработчик программного обеспечения, создающая панели управления для хостинг-провайдеров, используемые для управления виртуальными серверами, обслуживания операционных систем и т. д. VMmanager — это платформа управления виртуализацией компании, используемая для запуска виртуальных машин Windows или Linux для клиентов.


Компания Sophos обнаружила , что в стандартных шаблонах Windows VMmanager при каждом развертывании используются одни и те же имена хостов и системные идентификаторы.

Провайдеры хостинга, которые сознательно поддерживают киберпреступления и игнорируют запросы на удаление, пользуются этой уязвимостью в своей конструкции. Они позволяют злоумышленникам запускать виртуальные машины через VMmanager, используемый для управления и контроля (C2) и доставки вредоносного ПО.


Это, по сути, скрывает вредоносные системы среди тысяч безобидных, усложняет установление авторства и делает маловероятным быстрое удаление вредоносного ПО.


Большинство вредоносных виртуальных машин размещались у небольшой группы провайдеров с плохой репутацией или находящихся под санкциями, включая Stark Industries Solutions Ltd., Zomro BV, First Server Limited, Partner Hosting LTD и JSC IOT.


Компания Sophos также обнаружила провайдера MasterRDP, имеющего прямой контроль над физической инфраструктурой, который использует VMmanager для обхода защиты и предлагает услуги VPS и RDP, не соответствующие требованиям законодательства.


По данным Sophos, на четыре наиболее распространенных IP-адреса ISPsystem приходится «более 95% от общего числа виртуальных машин ISPsystem, доступных из интернета»:

• WIN-LIVFRVQFMKO
• WIN-LIVFRVQFMKO
• WIN-344VU98D3RU
• WIN-J9D866ESIJ2

Все они присутствовали либо в данных обнаружения клиентов, либо в телеметрических данных, связанных с деятельностью киберпреступников.


Исследователи отмечают, что, хотя ISPsystem VMmanager является легитимной платформой для управления виртуализацией, она также привлекательна для киберпреступников из-за «низкой стоимости, низкого порога входа и возможности развертывания «под ключ»».


Издание BleepingComputer обратилось к компании ISPsystem с вопросом, известно ли им о масштабных злоупотреблениях шаблонами виртуальных машин и каковы их планы по решению этой проблемы, но к моменту публикации ответа получено не было.