Zhakowali tysiące routerów. Rozbito przestępczą platformę

Służby regularnie publikują informacje o przeprowadzonych operacjach wymierzonych w grupy przestępcze. W niektórych przypadkach mowa o dość istotnych sukcesach.

Przykładowo, na naszych łamach przedstawialiśmy kulisy rozpracowania organizacji oszustów inwestycyjnych, czy aresztowania szajki wyłudzającej kody BLIK. Odnotowywano również istotne działania międzynarodowe, jak rozbicie grupy APT NoName057(16) przy współudziale Centralnego Biura Zwalczania Cyberprzestępczości.

Zamieniali routery w proxy na całym świecie

Niemniej intensywne operacje mają miejsce również poza granicami Polski. Jak podaje The Record, europejskie i amerykańskie służby rozbiły platformę cyberprzestępczą SocksEscort. Działała od 2020 roku, zaś podstawową jej funkcją była sprzedaż dostępu do routerów zainfekowanych specjalnym malware jako serwery residential proxy.

Według dostępnych danych, przez cały okres funkcjonowania sieć oferowała dostęp łącznie do ok. 369 tys. adresów IP urządzeń zlokalizowanych w 163 krajach. W samym lutym br., liczba dostępnych routerów wynosiła 8 tys., z czego 2,5 tys. znajdowało się w Stanach Zjednoczonych.

Po zakupieniu dostępu, cyberprzestępcy mogli ukryć swoje działania przy pomocy zainfekowanego sprzętu. Autorzy platformy mieli zarobić 5,7 mln dol. ze sprzedaży dostępów.

Tysiące podatnych modeli, miliony w kryptowalutach

Głównym elementem umożliwiającym cały proceder było malware nazwane AVRecon. Po przełamaniu zabezpieczeń, cyberprzestępcy instalowali złośliwe oprogramowanie na urządzeniach – według Europolu, działo się to bez wiedzy właścicieli sprzętu.

W ostrzeżeniu FBI wskazano, że podatnych na malware było łącznie 1,2 tys. modeli routerów różnych producentów, np. Cisco, TP-Link, Netgear czy D-Link.

W sumie udział w akcji wzięły służby z siedmiu krajów. Austriacy, Francuzi oraz Holendrzy przejęli serwery SocksEscort oraz aresztowali przestępców znajdujących się w Bułgarii. Z kolei działający w oparciu o nakazy Amerykanie przejęli kilkanaście domen umożliwiających funkcjonowanie platformy. Wsparcia udzieliły też służby z Rumunii, Niemiec i Węgier.

Łączna liczba przejętych domen wyniosła 34; w ręce stróżów prawa trafiła również kontrola nad 23 serwerami. Dodatkowo, amerykańscy funkcjonariusze zabezpieczyli kryptowaluty o równowartości 3,5 mln dol.