Os cibercriminosos estão escondendo o tráfego da web malicioso à vista

Durante anos, Gray Os serviços de mercado conhecidos como hosts “à prova de balas” têm sido uma ferramenta essencial para os cibercriminosos que procuram manter anonimamente a infraestrutura da web sem perguntas. Mas como a aplicação da lei global luta para reprimir as ameaças digitaiseles desenvolveram estratégias para obter informações sobre o cliente desses hosts e cada vez mais direcionaram as pessoas por trás dos serviços com acusações. No Sleuthcon da conferência focada em crime cibernético em Arlington, Virginia hoje, o pesquisador Thibault Seret descreveu como essa mudança empurrou as empresas de hospedagem à prova de balas e clientes criminais para uma abordagem alternativa.

Em vez de depender de hosts da web para encontrar maneiras de operar o alcance da aplicação da lei, alguns provedores de serviços se voltaram para oferecer a oferta de fins específicos VPNs e outros serviços de proxy como uma maneira de girar e mascarar endereços IP do cliente e oferecer infraestrutura que intencionalmente não registra tráfego ou mistura o tráfego de muitas fontes. E embora a tecnologia não seja nova, Seret e outros pesquisadores enfatizaram a Wired que a transição para o uso de procurações entre cibercrmais nos últimos dois anos é significativa.

“A questão é que você não pode distinguir tecnicamente qual tráfego em um nó é ruim e qual tráfego é bom”, disse Seret, pesquisador da empresa de inteligência de ameaças, Team Cymru, à Wired antes de sua palestra. “Essa é a mágica de um serviço de procuração – você não pode dizer quem é quem. É bom em termos de liberdade da Internet, mas é super, super difícil analisar o que está acontecendo e identificar uma atividade ruim”.

O principal desafio de abordar a atividade cibercriminal oculta por procuradores é que os serviços também podem, mesmo principalmente, facilitar o tráfego legítimo e benigno. Criminosos e empresas que não querem perdê -los, pois os clientes estão particularmente apoiados no que são conhecidos como “Proxies residenciais”. ou uma variedade de nós descentralizados que podem ser executados em dispositivos de consumo – até mesmo telefones Android antigos ou laptops de extremidade baixa – oferecendo endereços IP reais e rotativos atribuídos a casas e escritórios. Esses serviços oferecem anonimato e privacidade, mas também podem proteger o tráfego malicioso.

Ao fazer com que o tráfego malicioso pareça de endereços IP de consumidores confiáveis, os invasores tornam muito mais difícil para os scanners das organizações e outras ferramentas de detecção de ameaças para identificar atividades suspeitas. E, crucialmente, proxies residenciais e outras plataformas descentralizadas que são executadas em hardware de consumidores díspares reduzem a percepção e o controle de um provedor de serviços, dificultando a aplicação da aplicação da lei.

“Os invasores têm aumentado o uso de redes residenciais para ataques nos últimos dois a três anos”, diz Ronnie Tokazowski, pesquisador de longa data e co -fundador da inteligência sem fins lucrativos para sempre. “Se os atacantes vêm dos mesmos intervalos residenciais que, digamos, funcionários de uma organização -alvo, é mais difícil rastrear”.

O uso criminal de proxies não é novo. Em 2016, por exemplo, o Departamento de Justiça dos EUA disse que um dos obstáculos em uma investigação de um ano do notório A plataforma cibercriminal “Avalanche” foi o uso do serviço de um método de hospedagem de “fluxo rápido” que ocultou a atividade maliciosa da plataforma usando endereços IP proxy em constante mudança. Mas a ascensão dos procuradores como um serviço de mercado cinza, em vez de algo que os invasores devem se desenvolver internamente é uma mudança importante.

“Ainda não sei como podemos melhorar a questão do proxy”, disse Seret, da Team Cymru. “Eu acho que a aplicação da lei poderia ter como alvo provedores de procuração maliciosa conhecidos como fizeram com hosts à prova de balas. Mas, em geral, os proxies são serviços inteiros de Internet usados ​​por todos. Mesmo se você derrubar um serviço malicioso, isso não resolve o desafio maior”.