O Malware SystemBC Transforma Servidores VPS em Proxies de Alta Largura de Banda para Criminosos

Pesquisadoras revelaram que a botnet SystemBC transforma servidores VPS em servidores proxy para operações criminosas que incluem ataques REM Proxy e ransomware em todo o mundo.

A empresa de cibersegurança Lumen Technologies descobriu novos detalhes sobre a botnet “SystemBC”. Esta vasta rede de mais de 80 servidores de comando e controle (C2s), foi encontrada comprometendo cerca de 1.500 sistemas diariamente. Os pesquisadores afirmam que quase 80% dessas vítimas são servidores privados virtuais (VPS) de grandes provedores.

“Ao manipular sistemas VPS em vez de dispositivos no espaço IP residencial, como é típico em redes de proxy baseadas em malware, o SystemBC pode oferecer proxies com volumes massivos por períodos mais longos”, disseram os pesquisadores.

Os pesquisadores explicam que esses sistemas VPS infectados funcionam como servidores proxy, gerando volumes massivos de tráfego malicioso que organizações criminosas usam para conduzir suas operações.

O botnet também suporta o REM Proxy, uma grande rede de marketing com 20.000 roteadores Mikrotik e outros proxies abertos.

A Lumen explica que o REM Proxy opera como um serviço de proxy que dá suporte a grupos de ransomware, como Morpheus e TransferLoader, oferecendo diferentes serviços de proxy que incluem opções rápidas e furtivas, bem como endereços IP acessíveis para a quebra de senhas.

“SystemBC tem mostrado atividade contínua e resistência operacional ao longo de vários anos”, disse Lumen, observando que o malware originalmente documentado em 2019 permanece como uma ferramenta-chave para grupos criminosos. Cada servidor infectado tem em média 20 vulnerabilidades não corrigidas, com alguns exibindo mais de 160.

O malware funciona como uma ferramenta de proxy que permite aos atacantes redirecionar o tráfego através de computadores infectados. Os operadores focam em volume ao invés de discrição; em um teste, um único IP gerou mais de 16 gigabytes de dados em 24 horas.

A Lumen bloqueou todo o tráfego para e da infraestrutura SystemBC e REM Proxy em sua rede global. Os pesquisadores também divulgaram indicadores de comprometimento (IoCs) para ajudar outros a se protegerem.

“Continuaremos a monitorar a nova infraestrutura, atividade de direcionamento e ampliando os TTPs; e colaborar com a comunidade de pesquisa de segurança para compartilhar descobertas”, concluiu o relatório.