В Индонезии раскрыли 14-летнюю сеть из 328 тыс доменов с нелегальными казино

Платформа «Malanta» обнаружила сеть из 328 тыс доменов с нелегальными гемблинг-сайтами, которую вероятно используют для C2-серверов и анонимизации киберпреступников. Сеть включает 236 тыс купленных доменов, 90 тыс взломанных сайтов и 1,5 тыс взломанных поддоменов, включая правительственные сайты США, ЕС и Израиля. Также были обнаружены 38 GitHub-аккаунтов с веб-шеллами, тысячи вредоносных Android-приложений и 480 фейковых доменов организаций. 85 тыс доменов имитируют «Lazada», 35 тыс – «Envato», 1,8 тыс – «eBay». Сеть существует еще с 2011 года.

Группировка продвигает свои нелегальные продукты через соцсети и распространяет фейковые Android-приложения с вредоносным ПО через облачное хранилище «Amazon S3». Группировка ставит NGINX-прокси на взломанных правительственных поддоменах и сайтах крупных компаний, которые расшифровывают HTTPS-трафик и перенаправляют на сервера атакующих, маскируя киберпреступную активность под легитимный трафик. Исследователи также смогли обнаружить в даркнете 51 тыс украденных учетных данных, связанных с инфраструктурой.

Глава «Malanta» Коби Бен Наим оценил стоимость поддержки жизнеспособности подобной инфраструктуры в сотни тысяч или несколько млн $ в год и отметил, что группировка скорее всего индонезийская, но доказательств связи с государством обнаружить не удалось.