Acceso a miles de sitios violados que se encuentran en el mercado subterráneo.
Se ha descubierto el acceso a aproximadamente 3.000 sitios web violados a la venta en un mercado clandestino de habla rusa llamado MagBo. El acceso a algunos de los sitios se vende por tan solo 50 centavos (USD).
Los analistas de Flashpoint que descubrieron la disponibilidad de acceso a los sitios violados dijeron que la mayoría de las víctimas provienen del comercio electrónico, mientras que también se encontraron otras víctimas en industrias como la atención médica, legal, educación, seguros y agencias gubernamentales.
Varios de los servidores disponibles investigados por Flashpoint llevaron a los analistas a concluir que la mayoría de las infracciones provienen de servicios de alojamiento estadounidenses, rusos o alemanes. Este mercado en particular está poblado por más de una docena de proveedores y cientos de compradores que venden y participan en subastas para obtener acceso a sitios, bases de datos y paneles de administradores violados.
Flashpoint ha compartido sus hallazgos con la policía, que está trabajando para notificar a las víctimas.
El acceso a sitios infringidos es una tendencia incómoda
Los delincuentes utilizan el acceso ilícito a sitios y bases de datos comprometidos o con puertas traseras para una serie de actividades, que van desde campañas de spam hasta fraudes o minería de criptomonedas. Estos compromisos también se han utilizado para obtener acceso a las redes corporativas. Esto podría permitir a los actores acceder a documentos o recursos internos patentados, así como a puntos de entrada a través de los cuales pueden soltar varias cargas útiles maliciosas. Los tipos de vulnerabilidades presentes y las formas en que se pueden explotar dependen de la capacidad, la motivación, la orientación y los objetivos específicos del actor de la amenaza.
Esta es una tendencia inquietante que puede haberse manifestado ya en algunos incidentes de alto perfil divulgados públicamente. Una brecha reciente muy publicitada, por ejemplo, involucró una infraestructura personalizada, según investigadores de RiskIQ, lo que permitió a los atacantes evitar la detección y comprometer los datos de 380.000 clientes. Tal ataque probablemente requirió acceso comprometido y la capacidad de manipular el contenido del sitio e inyectar código para robar los datos de los clientes.
Hoy, se reveló una infracción de un mes en un minorista de computadoras. Los atacantes pudieron inyectar código en el sitio del minorista que buscaba números de tarjetas de pago. En ambas infracciones, los investigadores de RiskIQ y Volexity dijeron que el grupo de piratería Magecart estaba detrás de los ataques.
MagBo un desarrollo reciente en el metro
Los analistas de Flashpoint dijeron que los primeros anuncios del mercado MagBo se publicaron en marzo en un foro de malware y piratería en ruso de primer nivel. El actor de amenazas ofreció el mercado como destino para las ventas de acceso a sitios violados. Las publicaciones anuncian el acceso a sitios web que fueron violados a través de:
Acceso al shell PHP
Hosting control de acceso
Acceso de control de dominio
Acceso al Protocolo de transferencia de archivos (FTP)
Acceso a Secure Socket Shell (SSH)
Acceso al panel de administración
Acceso a la base de datos o al lenguaje de consulta estructurado (SQL)
Los clientes potenciales también encontrarán descripciones de los niveles de privilegios disponibles en el mercado, con etiquetas como «permisos de acceso completo», «capacidad para editar contenido» y «agregar su contenido».
Además del acceso a sitios web violados, este mercado en particular también vende fotocopias robadas de documentos nacionales por fraude de identidad, acceso a billetera de pago violado, cuentas de redes sociales comprometidas y servicios de mezclador o vaso de Bitcoin.
Los precios de los sitios web comprometidos oscilan entre $ 0.50 USD y $ 1,000 USD por acceso, dependiendo de la clasificación de un sitio web que enumere varios parámetros de host. Estos parámetros permiten al comprador comprar la infracción exacta que necesita según el valor del sitio web determinado y verificado por la tienda.
Los objetivos de alto valor obviamente obtendrían un precio más alto y capacidades para inyectar rastreadores de tarjetas de pago u otras herramientas para una penetración más profunda de la red. Los sitios con una clasificación más baja y un valor percibido menor tienen más probabilidades de ser abusados para la minería de criptomonedas o la entrega de spam.
Las medidas preventivas para proteger contra la explotación del sitio web incluyen la realización de auditorías y revisiones de los sitios web accesibles desde el exterior y sus conexiones con las redes de cualquier organización.
[tpr-boilerplate company=’null’]