О связях хак-форума DutyFree с атаками на российскую инфраструктуру

[admin]

Хак-форум DutyFree размещён на инфраструктуре российского хостера Prospero (AS200593, сеть 193.24.123.0/24), чьим единственным владельцем является Дмитриев Владимир Робертович. Согласно данным SocRadar, с IP-адресов Prospero (193.24.123.68 и 91.215.85.42) осуществлялись атаки на российскую инфраструктуру с использованием уязвимости CVE-2025-55182 (React2Shell).
Автоматически установленная связь между хостингом форума и инфраструктурой для атак подтверждается также упоминанием российского хостера Prospero в отчете Касперского о ботнете Tsundere.Cocoon AI Summary

Карта форума выглядит так (ниже таблица), полный рессерч по карте форума смотрите в ТГ в комментах к посту с этой статьей, авторство рессерча не мое.

forum.duty-free.cc	95.129.236.22	DDoS-Guard прокси (фронт)	DDOS-GUARD LTD
duty-free.cc / www	186.2.165.90	DDoS-Guard прокси (главный сайт)	IQWeb FZ-LLC (AE) за прокси
duty-notes.cc	95.129.237.196	DDoS-Guard прокси (“Duty Notes”)	DDOS-GUARD LTD
cdn.duty-free.cc	185.129.102.130	DDoS-Guard прокси (CDN)	DDOS-GUARD LTD
duty-files.cc	185.152.64.17	BunnyCDN нода CZ1 (файлохранилище)	Datacamp / BunnyCDN
193.24.123.71	—	ORIGIN ФОРУМА	Prospero (RU), RU-PROSPERO-20240703
193.24.123.8	—	Выделенный MySQL-сервер	Prospero (RU), тот же /24
193.24.123.183	mail.duty-free.cc	Почта: Postfix + SOGo (Postcow docker)	Prospero (RU), тот же /24

[th]

Домен​

[/th][th]

IP​

[/th][th]

Роль​

[/th][th]

Провайдер​

[/th]​

Интерес в карте привлекается конечно же 3 последних IP в одной сети 193.24.123.XXX, в которой находится форум, MySQL сервер и почта, все это сеть хостера Prospero.
Вся сеть 193.24.123.XXX как и сказал это Prospero, это AS200593.
Интересно то, что буквально по публичным данным сразу отбивается адрес PR-CT SOLIDARITY, D. 12 K. 2 LITERA Z, KV. 167 и номер +79810357955, и очень легко находится юр. лицо ООО «ПРОСПЕРО» (ИНН 7811782390, ОГРН 1227800153294), и этой компании есть директор Дмитриев Владимир Робертович, он не только является гендиректором, но и единственным владельцем компании — доля 100%, и да, номер телефона +79810357955 это его номер телефона, а адрес в WhoIS это его адрес, то есть человек буквально не скрывается и сам о себе все сообщил, но интересно не это.
У данного хостера 3 диапазона за ним, их можно найти по AS номеру сети:

• 91.202.233.0/24
• 91.215.85.0/24
• 193.24.123.0/24

Смотрим тут https://socradar.io/free-tools/ioc-...5182-to-attack-russian-companies-4ab3f0e4b645, тут прям выделю отдельно, что эксплуатируется CVE‑2025‑55182, ниже к этому придем.
упоминается атаки на РФ инфраструктуру, и какие там IP адреса с которых были атаки? IP адреса Prospero 193.24.123.68 и 91.215.85.42
и
Выше обращал внимание на эксплуатацию CVE‑2025‑55182, вот еще новость https://bi.zone/news/novuyu-kritich...chali-ispolzovat-v-atakakh-na-rossiyskie-kom/
Да-да, именно с инфраструктуру Просперо была осуществлена эта атака на РФ.
Есть и много других упоминаний этого хостера, например ниже российский Касперский упоминает ботнет Tsundere, который управлялся тоже с инфраструктуры Просперо https://securelist.com/tsundere-node-js-botnet-uses-ethereum-blockchain/117979/
Интересный выбор хостинга у хак-форума DutyFree, среди всех хостингов выбрать именно тот, с которого атакуют российскую инфраструктуру.

Источник