Οι ερευνητές κυβερνοασφάλειας έχουν επισημάνει ένα ουκρανικό δίκτυο IP για την εμπλοκή του σε μαζικές καμπάνιες brute-force και password spraying που στόχευσαν συσκευές SSL VPN και RDP μεταξύ Ιουνίου και Ιουλίου 2025.
Δείτε επίσης: Ευπάθειες στο Sitecore Experience επιτρέπουν απομακρυσμένη εκτέλεση κώδικα
Η δραστηριότητα προήλθε από ένα αυτόνομο σύστημα με έδρα την Ουκρανία, το FDN3 (AS211736), σύμφωνα με τη γαλλική εταιρεία κυβερνοασφάλειας Intrinsec. Πιστεύουν ότι το FDN3 αποτελεί μέρος μιας ευρύτερης κακόβουλης υποδομής που περιλαμβάνει δύο άλλα ουκρανικά δίκτυα, το VAIZ-AS (AS61432) και το ERISHENNYA-ASN (AS210950), καθώς και ένα αυτόνομο σύστημα με έδρα τις Σεϋχέλλες, το TK-NET (AS210848). Αυτά τα δίκτυα κατανεμήθηκαν όλα τον Αύγουστο του 2021 και συχνά ανταλλάσσουν IPv4 προθέματα μεταξύ τους για να αποφεύγουν τη λίστα αποκλεισμού και να συνεχίζουν να φιλοξενούν κακόβουλες δραστηριότητες.
Τα δύο αυτόνομα συστήματα κατανεμήθηκαν τον Μάιο και τον Αύγουστο του 2021, αντίστοιχα. Ένα μεγάλο μέρος των προθεμάτων τους έχει ανακοινωθεί στο AS210848, ένα άλλο αυτόνομο σύστημα που επίσης κατανεμήθηκε τον Αύγουστο του 2021. Αυτό το δίκτυο μοιράζεται όλες τις συμφωνίες διασύνδεσής του με την IP Volume Inc. – AS202425, μια εταιρεία με έδρα τις Σεϋχέλλες που δημιουργήθηκε από τους ιδιοκτήτες της Ecatel, γνωστή για την εκτεταμένη κακόβουλη φιλοξενία bulletproof στην Ολλανδία από το 2005.
Το σύνολο των προθεμάτων που μετακινήθηκαν από τα AS61432 και AS210950 ανακοινώνονται τώρα από δίκτυα bulletproof και κακόβουλα που προβάλλονται από εταιρείες όπως οι Global Internet Solutions LLC, Global Connectivity Solutions LLP, Verasel, IP Volume Inc., και Telkom Internet LTD. Τα ευρήματα βασίζονται σε προηγούμενες αποκαλύψεις για το πώς πολλαπλά δίκτυα που κατανεμήθηκαν τον Αύγουστο του 2021 και έχουν έδρα την Ουκρανία και τις Σεϋχέλλες – AS61432, AS210848, και AS210950 – χρησιμοποιήθηκαν για τη διανομή spam, επιθέσεις δικτύου και φιλοξενία εντολών και ελέγχου κακόβουλου λογισμικού. Τον Ιούνιο του 2025, μερικά από τα IPv4 προθέματα που ανακοινώθηκαν από αυτά τα δίκτυα μετακινήθηκαν στο FDN3, το οποίο δημιουργήθηκε τον Αύγουστο του 2021.
Δείτε ακόμα: Επιθέσεις TeamFiltration στοχεύουν 80.000 λογαριασμούς Microsoft Entra ID
Επιπλέον, τρία από τα προθέματα που ανακοινώθηκαν από το AS210848 και ένα από το AS61432 είχαν προηγουμένως ανακοινωθεί από ένα άλλο ρωσικό δίκτυο, το SibirInvest OOO (AS44446). Από τα τέσσερα IPv4 προθέματα που ανακοινώθηκαν από το FDN3, ένα από αυτά (88.210.63[.]0/24) εκτιμάται ότι είχε προηγουμένως ανακοινωθεί από μια αμερικανική λύση φιλοξενίας bulletproof με την ονομασία Virtualine (AS214940 και AS214943).
Αυτό το εύρος προθέματος IPv4 έχει αποδοθεί σε μεγάλες απόπειρες brute-force και password spraying, με τη δραστηριότητα να κλιμακώνεται σε επίπεδο ρεκόρ μεταξύ 6 και 8 Ιουλίου 2025. Οι προσπάθειες brute-force και password spraying που στοχεύουν περιουσιακά στοιχεία SSL VPN και RDP θα μπορούσαν να διαρκέσουν έως και τρεις ημέρες, σύμφωνα με την Intrinsec. Αυτές οι τεχνικές έχουν υιοθετηθεί από διάφορες ομάδες ransomware-as-a-service (RaaS) όπως οι Black Basta, GLOBAL GROUP και RansomHub ως αρχικό μέσο πρόσβασης για την παραβίαση εταιρικών δικτύων.
Η Intrinsec εξήγησε ότι ισχυρές ομοιότητες, συμπεριλαμβανομένων της διαμόρφωσης, του περιεχομένου που φιλοξενείται και της ημερομηνίας δημιουργίας, τους οδήγησαν να εκτιμήσουν με υψηλό επίπεδο εμπιστοσύνης ότι τα προαναφερθέντα αυτόνομα συστήματα λειτουργούν από έναν κοινό διαχειριστή φιλοξενίας bulletproof.
Περαιτέρω ανάλυση του FDN3 αποκάλυψε δεσμούς με μια ρωσική εταιρεία που ονομάζεται Alex Host LLC, η οποία έχει συνδεθεί με παρόχους φιλοξενίας bulletproof όπως η TNSECURITY, που έχουν χρησιμοποιηθεί για τη φιλοξενία υποδομής Doppelganger. Αυτή η έρευνα υπογραμμίζει ένα κοινό φαινόμενο των υπεράκτιων ISP όπως η IP Volume Inc. που επιτρέπουν σε μικρότερα δίκτυα bulletproof μέσω συμφωνιών διασύνδεσης και φιλοξενίας προθεμάτων. Χάρη στην υπεράκτια τοποθεσία τους, όπως οι Σεϋχέλλες, που παρέχουν ανωνυμία στους ιδιοκτήτες αυτών των εταιρειών, οι κακόβουλες δραστηριότητες που διαπράττονται μέσω αυτών των δικτύων δεν μπορούν να αποδοθούν άμεσα σε αυτούς.
Δείτε επίσης: Συντονισμένες επιθέσεις Brute-Force στο Apache Tomcat Manager
Οι επιθέσεις Brute-Force είναι μέθοδος δοκιμής όλων των πιθανών συνδυασμών για να “σπάσει” ένας κωδικός ή ένα κλειδί πρόσβασης. Συνήθως εφαρμόζονται σε login συστήματα, όπου ο επιτιθέμενος προσπαθεί συνεχώς διαφορετικούς κωδικούς μέχρι να βρει τον σωστό. Αν και χρονοβόρα, είναι αποτελεσματική όταν οι κωδικοί είναι απλοί ή κοινότοποι. Για την αποτροπή τέτοιων επιθέσεων, συνιστάται η χρήση ισχυρών και μοναδικών κωδικών, ενεργοποίηση μηχανισμών καθυστέρησης (rate limiting), CAPTCHA, και πολυπαραγοντικού ελέγχου ταυτοποίησης (MFA). Είναι από τις πιο συχνές μορφές κυβερνοεπιθέσεων.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
