Socks5Systemz Botnet heeft duizenden apparaten geïnfecteerd
Onderzoekers van BitSight hebben een proxy-botnet onthuld, bekend als Socks5Systemz, dat werd geleverd via de PrivateLoader- en Amadey-laders. De naam Socks5Systemz is afgeleid van het consistente inlogpaneel dat op alle C2-servers te vinden is. Dit proxy-botnet is in ieder geval sinds 2016 actief, maar is grotendeels onopgemerkt gebleven.
Kwaadwillende actoren verstrekken proxy's voor het doorsturen van verkeer voor illegale doeleinden aan klanten, waarbij ze prijzen in rekening brengen die variëren van $1 tot $140 per dag in cryptocurrency.
Uit onderzoek van netwerktelemetriegegevens blijkt dat dit botnet ongeveer 10.000 systemen heeft geïnfecteerd, zonder dat er in Rusland geïnfecteerde systemen zijn gevonden.
Alle door experts onderzochte voorbeelden worden gedistribueerd door PrivateLoader en Amadey en voeren een bestand uit met de naam "previewer.exe", dat persistentie tot stand brengt en de proxy-bot in het geheugen injecteert. De lader handhaaft persistentie door een Windows-service te maken waarvan de naam en weergavenaam zijn ingesteld op 'ContentDWSvc'.
Om detectie te omzeilen en de weerstand van het botnet tegen verwijdering te vergroten, maakt de proxy-bot gebruik van een domeingeneratie-algoritme (DGA).
Socks5Systemz wordt geleverd met communicatieopdrachten
Het meest kritische commando is het 'connect'-commando, dat de bot de opdracht geeft een sessie tot stand te brengen met een backconnect-server op poort 1074/TCP. Door deze registratie bij de backconnect-infrastructuur kan de bot onderdeel worden van de beschikbare pool van proxy's die worden gebruikt om verkeer namens klanten te verzenden.
Na het parseren van de "connect"-opdrachtvelden initieert de malware een sessie met de backconnect-server via poort 1074/TCP, met behulp van een aangepast binair protocol. Zodra de sessie tot stand is gebracht, kan de bot als proxy functioneren.
Bij het tot stand brengen van een sessie met een backconnect-server op poort 1074/TCP, krijgt de bot een unieke TCP-poort toegewezen (ook wel de serverpoort genoemd) aan de serverzijde, geopend om verkeer van clients te ontvangen. Clients moeten het IP-adres van de backconnect-server kennen, de TCP-poort die aan het geïnfecteerde systeem is toegewezen, en hun openbare IP op de witte lijst hebben staan, of over de juiste inloggegevens beschikken om de proxy te gebruiken. Zonder deze informatie accepteert de server het verkeer niet.
De onderzoekers hebben minstens 53 servers geïdentificeerd die door dit botnet worden gebruikt, allemaal gelegen in Europa en verspreid over Frankrijk, Bulgarije, Nederland en Zweden.
De top 10 van meest getroffen landen zijn India, Brazilië, Colombia, Zuid-Afrika, Bangladesh, Argentinië, Angola, de Verenigde Staten, Suriname en Nigeria.
De bedreigingsactoren die verantwoordelijk zijn voor het Socks5Systemz-botnet bieden twee abonnementen aan: 'Standaard' en 'VIP'. Klanten kunnen de Cryptomus Crypto Payment Gateway gebruiken op cryptomus.com.
