xDedic是一种典型的最新型网络罪犯黑市。这种黑市组织严密,可以为所有人提供多样化的服务。从入门级别的网络罪犯到APT组织都可获取到合法机构快捷、廉价及易于使用的基础设施访问权限,这种运行模式使得网络犯罪行为更加具有隐蔽性,网络犯罪分子可以借此潜伏很长时间。卡巴斯基实验室的安全专家近期对这个专供网络罪犯购买和贩卖被感染服务器访问权限的全球性论坛进行了调查。
上周,卡巴斯基实验室的安全研究人员将他们针对xDedic的研究发现公布了出来。xDedic是一个地下黑市,这一市场专门向外界出售那些被黑客攻击过的服务器的访问权限。根据目前掌握的数据显示,xDedic于2014年开始营业,并在2015年内快速发展。直到2016年5月,该黑市共有来自174个国家的70,624台服务器在售,这些服务器由416个不同的销售商提供。
在中国大陆、中国台湾和中国香港,已经有超过一百家知名的大型企业和互联网服务提供商的服务器受到了感染,并在xDedic地下黑市中出售,其中还包括政府、运营商、电商、医院、房地产公司 和学校等机构的服务器。
尽管受影响的用户数量已经如此庞大了,但是这似乎只是冰山一角。安全研究人员发现,2014年xDedic刚刚上线时,其被入侵服务器的交易数量是现在的三倍之多。
当安全研究人员将他们针对xDedic的初始研究报告公布出来之后,这一地下市场便立刻被关闭了。这也并不会令我们感到惊讶,因为当网络犯罪分子的犯罪活动被曝光之后,他们通常都会躲起来。但有趣的是,当这个地下黑市被关闭之后,卡巴斯基实验室便收到了有关该黑市在售服务器的相关信息。
根据最新的研究报告显示,在2014年10月至2016年2月之间,总共有176,000台被黑的服务器在xDedic地下黑市中出售。安全研究人员得到的数据集显示, 其中大量的服务器被用于托管互联网用户经常访问的服务或者网站。网络罪犯分子不但可以利用这些服务器来对各个机构的基础设施发动攻击,而且还能将这些服务器作为跳板,发动规模更大的网络攻击。而绝大多数服务器的所有者,例如政府机构、企业和大学等,对此事仍然一无所知。
卡巴斯基实验室的安全研究人员对xDedic在售的服务器进行了分析,并提供了一份IP地址列表和相关的日期信息。在对这些信息进行了验证之后,他们认为这份最新的数据是真实有效的,他们会相应地更新之前的分析结果。
根据最新的研究报告显示,美国是受此事件影响最为严重的国家,xDedic地下黑市中出售的服务器绝大多数都来源于美国(总共有大约有六万多台)。另外,英国是受影响第二位的国家,大约有八千余台服务器在xDedic上出售。除此之外,还有巴西、中国、俄罗斯、印度、西班牙、意大利、法国、澳大利亚、南非和马来西亚等国家的大量服务器也受到了影响。
最新的分析数据显示,美国地区的服务器账号数量占了34%,英国和巴西两国均占了5%。根据卡巴斯基实验室的研究报告,英国、美国、加拿大和德国均是受影响最为严重的前十国家。
一开始,卡巴斯基实验室从欧洲的一家互联网服务提供商那里了解到了xDedic地下黑市的存在,于是双方开始合作并针对这一地下黑市的运营方式展开了调查。调查结果显示,这个地下黑市的运营方式虽然十分的简单,但是也计划得非常周密:首先,黑客通过暴力破解等方式入侵目标服务器,并将相应的管理员登录凭证上传至xDedic之中。接下来,攻击者需要检查被入侵服务器的RDP配置、内存、软件和浏览历史等信息,客户在下单前均可查询上述信息。最后,将这些服务器添加到在线销售列表中。在入侵行动成功后,攻击者就可悄无声息获取到销售服务器的访问权限,启动整个业务流程的运转。
安全研究人员表示,这些信息的来源目前尚不清楚,这个人很可能一直在监视xDedic地下黑市,并获取到了所有的访问IP,或者他很可能拥有高级的后台访问权限。除此之外他们还解释称,此前出现在该地下黑市中的服务器大多数可用性都不高,所以这也可能是这些服务器售价较低的原因之一。
卡巴斯基实验室的安全研究人员说到:“这件事情对于安全行业的从业人员来说,也是一种启发。当我们面对网络犯罪时,我们通常看到的只是其冰山一角。之所以有的买家认为xDedic地下黑市看起来规模很小,这是因为那些实用价值很高服务器在一开始就已经被抢购一空了。”
安全研究人员透露,在xDedic地下黑市中,最贵的服务器其售价竟高达六千美金,而这些服务器的成本大约在五十美金左右,而且这些服务器基本上都来源于美国。研究人员发现,一个名为“Narko”的黑客组织其手中在售的服务器价格在该地下黑市中标价非常的高,具体原因仍不得而知。
卡巴斯基实验室全球研究分析团队的总监Costin Raiu认为: “商业生态系统和交易平台的出现,进一步证实了网络犯罪服务当前正在飞速扩张的事实。这类服务让所有人——从初级恶意攻击者到由政府资助的APT组织,都能通过廉价、快捷和有效的方式,轻松实施潜在危害巨大的网络攻击。”