Criminelen verdienen aan bandbreedte gehackte D-Link- en Ubiquiti-apparaten

[Captain Kirk]

Criminelen verdienen aan de bandbreedte van gehackte D-Link- en Ubiquiti-apparaten, zo laat cybersecuritybedrijf GreyNoise op basis van eigen onderzoek weten. Het bedrijf ontdekte meerdere digitale videorecorders en NAS-systemen van Ubiquiti en D-Link die waren gehackt en voorzien van commerciële proxysoftware. In het geval van de D-Link-apparaten waren hiervoor kwetsbaarheden gebruikt die al sinds 2024 bekend zijn. In het geval van de Ubiquiti digitale videorecorders ging het om een probleem uit 2021.

De aanvallers hebben het ook voorzien op kwetsbare installaties van SAP NetWeaver Visual Composer. Vervolgens installeren de aanvallers software van een commercieel proxynetwerk. Dit netwerk betaalt gebruikers als ze software installeren waarmee anderen van hun bandbreedte en ip-adres gebruik kunnen maken. Deze betalende klanten van de proxydienst kunnen bijvoorbeeld cybercriminelen zijn.

Door een residential proxy te gebruiken kan de aanvaller zijn eigen ip-adres verbergen. Een ander voordeel is dat er een ip-adres kan worden gekozen dat zich in dezelfde regio als dat van het doelwit bevindt. Een inlogpoging op een account vanuit dezelfde regio waar de aangevallen organisatie zich bevindt is minder verdacht dan een inlogpoging uit een ver land. Een residential proxy biedt cybercriminelen zodoende allerlei voordelen.

Er zijn verschillende manieren waarop residential proxydiensten te werk gaan. Zo kunnen ze app-ontwikkelaars betalen om hun SDK (software development kit) toe te voegen. Zodra mensen de app installeren zorgt de SDK ervoor dat het systeem onderdeel van de proxydienst wordt. Andere mogelijkheden zijn bijvoorbeeld vpn-aanbieders met verborgen voorwaarden, gehackte IoT-apparaten, malware en mensen die bewust tegen betaling proxysoftware op hun systemen installeren.

"Omdat residential proxies gebruikmaken van echte, vertrouwde ip-adressen, is malafide gebruik ervan veel moeilijker te detecteren of blokkeren. Veel beveiligingssystemen en websites vertrouwen verkeer van residential proxy-IP’s meer dan verkeer van datacenters of anonieme vpn's. De residential proxies behoren immers toe aan reguliere burgers die evengoed een werknemer of klant kunnen zijn", zo liet het Nationaal Cyber Security Centrum (NCSC) eerder dit jaar weten. De overheidsinstantie waarschuwde ook dat residential proxies een gevaar voor de digitale veiligheid van Nederland zijn.

Proxynetwerken kunnen ook gevolgen hebben voor gebruikers waarvan het ip-adres wordt gebruikt. Zo waarschuwde de politie onlangs dat als criminelen gebruikmaken van proxynetwerken, de ip-adressen van onschuldige burgers en bedrijven onterecht als verdacht kunnen worden aangemerkt in opsporingsonderzoeken. In het geval van de gehackte D-Link- en Ubiquiti-apparaten verdienen de aanvallers via de commerciële proxysoftware aan de bandbreedte van hun slachtoffers, die vaak niets door hebben. Daarbij accepteren de aanvallers in naam van het slachtoffer de voorwaarden van de proxydienst. GreyNoise ontdekte gehackte apparaten in 34 verschillende landen.

 

bron: https://www.security.nl