Τα cPanel παραβιασμένων site είναι περιζήτητα στις αγορές κυβερνοεγκλήματος

Οι κυβερνοεγκληματίες διαφημίζουν ανοιχτά την πρόσβαση σε χακαρισμένες ιστοσελίδες ως μέρος της υπόγειας οικονομίας. Ένα από τα πιο υποσχόμενα προϊόντα είναι τα παραβιασμένα διαπιστευτήρια cPanel. Πωλούνται κατά χιλιάδες σε απατηλές ομάδες συνομιλίας σε τιμές εμπορεύματος και προωθούνται ως υποδομή plug-and-play για εκστρατείες phishing και απάτης.

Δείτε επίσης: Η Grubhub επιβεβαιώνει παραβίαση δεδομένων 

Σε νέα έρευνα, οι ερευνητές ασφαλείας της Flare ανέλυσαν τη δραστηριότητα σε παρακολουθούμενες απατηλές ομάδες για μια περίοδο επτά ημερών, δείχνοντας ένα δομημένο οικοσύστημα που λειτουργεί σε κλίμακα.

Ανέλυσαν περισσότερες από 200.000 αναρτήσεις που αναφέρονται στην πρόσβαση cPanel, εξηγώντας πώς το cPanel έχει γίνει περιζήτητο, γιατί είναι επιθυμητό από τους κυβερνοεγκληματίες και πώς εντάσσεται στο συνολικό τοπίο απειλών.

Το cPanel είναι ένας από τους πιο διαδεδομένους πίνακες ελέγχου φιλοξενίας ιστού βασισμένους σε Linux στον κόσμο. Παρέχει ένα δομημένο επίπεδο διαχείρισης πάνω από τις τυπικές υπηρεσίες συστήματος, λειτουργώντας ως διεπαφή ορχήστρωσης και αυτοματοποίησης για τη διαχείριση λογαριασμών φιλοξενίας, τομέων, υπηρεσιών ηλεκτρονικού ταχυδρομείου, βάσεων δεδομένων, ζωνών DNS, πιστοποιητικών SSL και συστημάτων αρχείων.

Σύμφωνα με το Shodan, υπάρχουν πάνω από 1,5 εκατομμύρια διακομιστές συνδεδεμένοι στο διαδίκτυο με λογισμικό cPanel. Ο θερμικός χάρτης δείχνει πώς το cPanel είναι δημοφιλές κυρίως στις Η.Π.Α. (πάνω από 1 εκατομμύριο αποτελέσματα).

Δείτε ακόμα: Ιρανικό Κυβερνομέτωπο: Αύξηση δραστηριότητας από hacktivists

Μόλις ένας κυβερνοεγκληματίας αποκτήσει τα νόμιμα διαπιστευτήρια για την πρόσβαση στο επίπεδο διαχείρισης μιας ιστοσελίδας, ενεργοποιείται ένα ευρύ φάσμα δυνατοτήτων:

• Ανάπτυξη backdoors για διατήρηση
• Δημιουργία νέων διαχειριστικών χρηστών για διατήρηση
• Απόκτηση πρόσβασης root στον διακομιστή
• Ανάπτυξη κιτ phishing ως υποτομέας υπό το νόμιμο όνομα τομέα
• Δημιουργία λογαριασμών SMTP υπό τον τομέα για τη διάδοση εκστρατειών phishing ή spam
• Κλοπή και εξαγωγή ανεκτίμητων δεδομένων (PII, μυστικά) από βάσεις δεδομένων

Σε περιβάλλοντα κοινής φιλοξενίας, ένα μόνο cPanel μπορεί να επιτρέψει την πρόσβαση σε δεκάδες τομείς, και σε οργανωτικό επίπεδο, μπορεί να θέσει σε κίνδυνο ολόκληρη την παρουσία στο διαδίκτυο. Επειδή οι επιτιθέμενοι χρησιμοποιούν έγκυρα διαπιστευτήρια, οι παραδοσιακοί έλεγχοι ασφαλείας μπορεί να μην επισημάνουν αμέσως τη δραστηριότητα ή μπορεί να την παραβλέψουν εντελώς. Η κατάχρηση μπορεί να ξεκινήσει με ήσυχη εξερχόμενη αλληλογραφία ή κρυφές μεταφορτώσεις αρχείων πριν ανιχνευθεί η ορατή εκμετάλλευση.

Η Flare παρακολουθεί υπόγεια κανάλια Telegram όπου οι κυβερνοεγκληματίες πωλούν παραβιασμένα διαπιστευτήρια cPanel, πρόσβαση SMTP και υποδομή φιλοξενίας, παρέχοντας ειδοποιήσεις όταν τομείς, λογαριασμοί φιλοξενίας ή διαπιστευτήρια εμφανίζονται σε μαζικές πωλήσεις πριν εκμεταλλευτούν.

Δείτε επίσης: Η SloppyLemming στοχεύει κρίσιμες υποδομές του Πακιστάν και του Μπαγκλαντές

Ιστορικά, οι κυβερνοεγκληματίες έχουν αποκτήσει πρόσβαση σε περιβάλλοντα cPanel μέσω ενός μείγματος κατάχρησης διαπιστευτηρίων, παραβίασης εφαρμογών ιστού και εκμετάλλευσης σε επίπεδο διακομιστή. Ο πιο κοινός τρόπος ήταν τα κλεμμένα ή brute-forced διαπιστευτήρια. Οι επιτιθέμενοι εκμεταλλεύονται εκστρατείες phishing, επαναχρησιμοποίηση κωδικών πρόσβασης από παραβιάσεις δεδομένων, stuffing διαπιστευτηρίων και αυτοματοποιημένες επιθέσεις brute-force κατά των εκτεθειμένων πυλών σύνδεσης cPanel.

Πηγή: bleepingcomputer