Amazon, godaddy populární volby pro malware malware

Milujeme cloud, protože je jednodušší roztočit server tak, aby hostoval web nebo spouštěl webovou aplikaci, pokud se o všechny hardwarové úlohy postará někdo jiný. Zdá se, že zločinci také milují poskytovatele hostingu, zejména Amazon a GoDaddy.

Počítačoví zločinci používají cloud computing z mnoha stejných důvodů jako legitimní firmy a jednotlivci. Řešení je uvedeno ve zprávě o hrozbě za čtvrté čtvrtletí 2013 (PDF). Zločinci také skrývají své škodlivé činnosti za pověstmi hlavních poskytovatelů hostingu, jako jsou Amazon, GoDaddy a Google. Ve skutečnosti, z hlavních poskytovatelů webhostingů venku, Solutionary zjistil, že Amazon a GoDaddy byly nejoblíbenější pro hostování malwaru.

„Nyní se musíme soustředit nejen na ty nejnebezpečnější části webu, ale také na ty části, které očekáváme, že budou důvěryhodnější, “ řekl Rob Kraus, ředitel výzkumu výzkumného týmu Security Engineering společnosti Solutionary.

Proč cloud?

Přechod na cloud dává velký smysl, protože je rychlejší vyvinout škodlivé stránky a uvést je online, stejně jako levnější opakovaně měnit adresy IP a názvy domén, aby se zabránilo detekci. Zločinci mohou raději využívat více poskytovatelů a podstatně rozšířit své operace, než se snažit nastavit fyzické webové servery na více místech. Zpráva například našla jedinou škodlivou doménu, která byla rozšířena do 20 zemí, 67 poskytovatelů a 199 jedinečných IP adres, aby nedošlo k detekci nebo blokování.

Distributoři malwaru „využívají technologie a služby, které usnadňují procesy, nasazení aplikací a vytváření webových stránek, “ řekl Kraus.

Zločinci také lépe pokrývají své trasy a mají vyšší míru úspěchu, pokud se spoléhají na hlavní poskytovatele hostingu. Vzhledem k tomu, že organizace často odfiltrují provoz pomocí geografických černých listin a seznamů známých špatných IP adres, zločinci potřebují někde „bezpečné“, které nebude automaticky vyvolávat varování. Zde přicházejí hlavní poskytovatelé hostingu, protože umožňují distributorům malwaru nastavit obchod v důvěryhodném adresním prostoru. Organizace, které mohou blokovat provoz z Ukrajiny, například méně pravděpodobně blokují provoz z Amazon a GoDaddy.

Solutionary také poukázal na to, že geografické seznamy blokování a blokování nejsou účinnými metodami pro detekci a blokování útoků škodlivého softwaru, protože 44 procent světového škodlivého softwaru je hostováno ve Spojených státech.

Piggybacking na důvěryhodných značkách

Skrytí za důvěryhodnými doménami a jmény však není nic nového. Spamerům se líbí například používání populárních poskytovatelů webmailu, protože lidé například automaticky věří zprávě z adresy @ outlook.com nebo @ gmail.com více než jedné z adresy @ 50orcdn.com. Útočníci také používají Dokumenty Google a Weby Google k vytváření formulářů, které mohou uživatele přimět k tomu, aby odeslali citlivé informace nebo stahovali malware. Poskytovatelé cloudových úložišť, jako je Dropbox, byli v minulosti trápeni, protože zločinci využívají bezplatné služby k hostování malwaru.

Vzhledem k obrovské velikosti Amazonu dává smysl, že hostuje více škodlivých stránek než jejich konkurenti. Bez ohledu na to je jasné, že útočníci stále více považují poskytovatele hostingu za „významné distribuční body“, řekl Kraus.

Ve zprávě společnosti Solutionary vědci zjistili, že útočníci kupují služby přímo od hlavních poskytovatelů hostingu nebo kompromitují weby již hostované na těchto platformách. Uživatelé obecně nevědí, jak podniknout kroky k zatvrdnutí svých aplikací, což je činí zranitelnými vůči útokům. Někteří poskytovatelé, například Amazon se službou Elastic Cloud Compute (EC2), účtují poplatky za skutečnou spotřebovanou šířku pásma. To znamená, že zločinci mohou kampaň zahájit nejprve v malém měřítku a poté podle potřeby rozšířit.

"Čím lukrativnější je trestná činnost, tím více prostředků bude k dispozici na zaplacení rostoucí kapacity podle potřeby, " poznamenal Solutionary.

Většina poskytovatelů cloudu - zejména Amazon - má zavedené bezpečnostní zásady, které mají zavřít škodlivé weby a účty, jakmile jsou detekovány. Pokud je však poskytovatel obrovský a každý měsíc spouští nové aplikace tisíce serverů a tisíce uživatelů, je to náročná úloha. V důsledku toho byste neměli jen předpokládat, že provoz přicházející z určitých stránek je automaticky bezpečný, nebo se spolehnout na poskytovatele, kteří budou aktivity sledovat. Je na vás, abyste praktikovali bezpečnou práci s počítačem tím, že udržíte svůj počítač v bezpečí a prozkoumáte každý web, abyste zjistili, zda je či není legitimní.