Эксперты двух компаний, специализирующихся на вопросах кибербезопасности, независимо друг от друга раскрыли схемы работы нелегальных прокси-сервисов, работающих на зараженных вредоносным ПО маршрутизаторах и Android-телефонах.
![Источник изображения: B_A/pixabay.com](https://newsper.ru/wp-content/uploads/2024/03/hacker_1.jpg)
Источник изображения: B_A/pixabay.com
Специалисты Lumen Labs обнаружили, что около 40 000 домашних и офисных маршрутизаторов были включены в незаконную сеть, причем ежедневно в нее добавляются еще 1000 устройств. Все они заражены вредными действиями семейства TheMoon, появившегося как минимум в 2014 году. Первоначально вирусы TheMoon поражали исключительно маршрутизаторы Linksys серии E1000; с годами к ним подключились модели Asus WRT, D-Link и камеры Vivotek.
В первые годы TheMoon активно распространялся и привлек внимание экспертов в области кибербезопасности, а затем стал менее заметным. К удивлению исследователей из лаборатории Black Lotus компании Lumen в начале марта всего за 72 часа в ботнете TheMoon оказались 6000 роутеров Asus. Еще более потрясающим оказалось обнаружение теневой сети из 40 000 домашних и офисных маршрутизаторов в 88 странах – как выяснилось, подавляющее большинство зараженных TheMoon устройств регистрируются в незаконном прокси-сервисе Faceless, используемом для анонимизации киберпреступников. Около 80% ботов Faceless расположены в США, а значит, основными целями пользующихся сервисом киберпреступников являются американские организации и учетные записи американских пользователей.
![Источник изображения: Gerd Altmann / pixabay.com](https://newsper.ru/wp-content/uploads/2024/03/hacker_2.jpg)
Эксперты подразделения Satori Intelligence компании Human обнаружили в магазине Google Play 28 приложений, без ведома пользователей регистрировавших их в прокси-сети из 190 000 узлов. Сети присвоили название ProxyLib — ее существование уходит корнями в отдаленное в прошлом году из Google Play приложение Oko VPN, которое использовало зараженные устройства для мошенничества с рекламой. Все 28 программ, обнаруженных Satori Intelligence, копировали код Oko VPN и подключали устройства к прокси-сервису Asock.
Исследователи также обнаружили второе поколение программ ProxyLib, монетизировавшихся с помощью сервиса LumiApps, добавляющего в мобильное программное обеспечение те же функции подключения к той же инфраструктуре, что и Oko VPN. Такие приложения распространяются как моды за пределами Google Play. Эксперты не знают, какие именно устройства входили в сеть Asock – на пике ее развития их было 190 тысяч. Это могли быть Android-телефоны или другие устройства, скомпрометированные другими способами.
Для защиты своих устройств от подключения к теневой сети рекомендуется соблюдать некоторые меры предосторожности. Не рекомендуется пользоваться оборудованием, которое больше не поддерживается производителем – большинство устройств в ботнете TheMoon завершили срок службы и обновления безопасности больше не поступали. Рекомендуется также без необходимости не использовать функцию UPnP, а если подключать ее, то только для определенных портов. Приложения на Android рекомендуется устанавливать только после изучения репутации программного обеспечения и его разработчика.
Если вы заметили ошибку, выделите ее мышкой и нажмите CTRL+ENTER.