Pivot pour Nosviak

Résumé

Censys a trouvé des preuves de l'existence d'un réseau de systèmes de gestion de réseaux de zombies utilisant une version modifiée du logiciel Nosviakun service de commande et de contrôle peu connu qui a gagné en popularité au cours des derniers mois. De nombreux systèmes de ce réseau partagent des ressources telles que des clés SSH, des domaines et des marques de service, ce qui laisse supposer une opération plus importante autour de la vente d'attaques par déni de service et de services de proxy à des clients consentants.

Introduction

Nosviak est un système de commande et de contrôle (C2) de botnet qui prend en charge divers protocoles de communication par rappel, notamment ceux utilisés par Mirai et Qbot. Malgré ses capacités, il n'a pas encore fait l'objet de beaucoup de recherches ou d'examens approfondis par rapport à d'autres systèmes dans ce domaine. Cependant, au cours des sept derniers mois, on a constaté une augmentation des hôtes étiquetés comme Nosviak dans ThreatFox, une plateforme dédiée au partage d'indicateurs de compromission (IOC) associés à des logiciels malveillants. Pourtant, nous n'avons rien trouvé de plus détaillé qu'une étiquette sur un site web communautaire.

Entrée ThreatFox pour Nosviak

Après avoir développé une empreinte Nosviak pour Censys, nous avons cherché à en savoir plus sur ce logiciel. À l'époque, les informations sur Nosviak étaient rares et dispersées dans d'obscurs recoins d'Internet. Ce que nous avons trouvé, cependant, c'est une piste fragmentée de dépôts GitHub clandestins, certains jonchés d'insultes et de moqueries cryptiques, tandis que d'autres contenaient étonnamment le code source complet de Nosviak2, ainsi que des marques et des fichiers de configuration personnalisés.

Nous nous sommes ensuite concentrés sur les hôtes déjà signalés dans Censys qui utilisent Nosviak2. Grâce à diverses stratégies de pivotement, nous avons commencé à identifier des modèles et des caractéristiques qui nous ont permis de mieux comprendre un écosystème spécifique construit autour du logiciel Nosviak2. Ce qui a commencé comme une simple analyse de Nosviak s'est rapidement transformé en une découverte plus large d'un petit réseau d'hôtes interconnectés qui géraient une opération "DDoS-as-a-Service" dérivée de Nosviak.

Le "stress-testing" en tant que service

Censys a mis au jour une façade de botnet fonctionnant sous de multiples alias et vitrines, offrant principalement des services DDoS et proxy déguisés en outils de "tests de résistance". Ces vitrines partagent souvent des modèles HTML identiques, ne se différenciant que par des marques, des noms et des structures de prix uniques. Notre analyse révèle une forte dépendance à l'égard du serveur C2 de Nosviak, nombre de ces services utilisant son API de marque pour appliquer des thèmes distincts tout en fonctionnant potentiellement sur une infrastructure partagée.

Au moment de la rédaction du présent document, le réseau comptait plus de 150 hôtes répartis dans vingt pays et systèmes autonomes, servant au contrôle, à l'exploitation et à la vente de ces services DDoS et proxy. Certains hôtes peuvent également fonctionner comme des boîtes de relais opérationnelles (ORB). Bien qu'elles opèrent sous des noms différents, beaucoup de ces entités maintiennent des connexions directes ou semi-directes.

Parmi les principaux exemples de ces vitrines, citons Moonrise c2, Rotate C2, Monolith C2, Runtz C2 et le réseau Cindy. Bien que ces services affichent des noms distincts, leurs sites web suivent un modèle quasi identique - les seules variations significatives se situent au niveau d'éléments superficiels tels que l'image de marque et la formulation.

Le langage promotionnel de ces vitrines comprend souvent des slogans tels que "Ressentez la véritable puissance" ou "Testez la sécurité de votre site web", qui apparaissent systématiquement sur tous ces sites web. En voici quelques exemples :

Bien que nous ne puissions pas confirmer définitivement que ces serveurs exécutent Nosviak sans avoir un accès direct aux machines physiques, plusieurs indicateurs clés soutiennent cette conclusion. Dans les sections suivantes, nous ferons référence au code source de Nosviak2, que nous avons reproduit ici.

Bannières et stratégie de marque

Dans le code source de Nosviak2(core/clients/produce.go), la bannière par défaut du serveur SSH est initialisée avec la chaîne de format :

Un grand nombre des serveurs identifiés dans le cadre de cette enquête ont suivi exactement ce schéma de version. Dans certains cas, la chaîne Nosviak a été remplacée par un identifiant plus personnalisé, ou le nom a été entièrement supprimé, mais la version d'OpenSSH (8.6p1) est restée cohérente dans tous les cas.

Nous notons également que la configuration par défaut de Nosviak lie SSH au port 1337, comme on peut le voir ici dans assets/config.json, et que de nombreux services que nous avons identifiés écoutaient activement sur ce port également.

Clé SSH partagée de Nosviak

L'un des éléments de preuve les plus incriminants est une clé privée SSH (au format PPK) contenue dans le code source de Nosviak. Cette clé semble être utilisée sur plusieurs hôtes découverts dans le cadre de cette enquête.

Vous trouverez ci-dessous un tableau des hôtes et des ports où cette clé SSH a été observée. Certains hôtes ont utilisé la bannière Nosviak par défaut, tandis que d'autres l'ont modifiée pour y inclure une marque personnalisée.

Bien qu'ils opèrent sous différents noms et pseudonymes, nombre de ces "services" DDoS présentent des similitudes frappantes. Il s'agit notamment de clés de serveur SSH partagées, de pages web presque identiques et de favicons réutilisés.

Ces services s'appuient fortement sur Discord, Telegram, ou les deux, comme principales plateformes de communication. Ces canaux servent de plaques tournantes pour la promotion de leurs offres, l'assistance aux utilisateurs et les mises à jour, ainsi que pour la présentation des "preuves" de leurs activités. Les opérateurs partagent fréquemment des captures d'écran d'attaques réussies pour démontrer leurs capacités et attirer de nouveaux clients.

MoonlyC2 Discord (discord[.]gg/moonlyc2) "épreuves"	Cindy Network Telegram (t[.]me/cindynetwork) "preuves".

Certains de ces services étendent même leurs efforts de marketing à YouTube, où ils disposent de chaînes pour faire de la publicité et présenter des démonstrations vidéo de leurs offres. Si la plupart de ces services se concentrent sur les attaques DDoS, d'autres, comme Moonrise C2, laissent entrevoir des capacités plus larges telles que les proxys.

Pivoter à partir de l'empreinte SSH de Nosviak

En pivotant à partir de la clé SSH par défaut de Nosviak, nous pouvons trouver des liens vers d'autres hôtes qui partagent des points communs avec d'autres hôtes. Par exemple, alors que Sentinel Network, Moonly C2, RCNC et Cindy Network utilisent la clé SSH par défaut de Nosviak, ils utilisent également des serveurs web qui incluent des éléments HTML que l'on retrouve sur plusieurs autres hôtes offrant des services similaires. Nous pouvons alors utiliser ces éléments comme point de départ pour trouver d'autres infrastructures potentiellement liées.

Pivoter à partir de Runtz C2

Runtz C2 (runtznetwork[.]icu) à l' adresse IP 45.90.13.179 a été identifié en pivotant à partir de l'élément HTML partagé décrit dans la section précédente, et en plus du serveur HTTP, l'empreinte SSH sur le port 1337 (2af0...14cc) a révélé 90 autres hôtes utilisant la même clé; vous trouverez ci-dessous un échantillon des hôtes que nous avons trouvés avec cette méthode et que nous avons pu attribuer :

Nombre de ces hôtes nous ont permis de découvrir encore plus d'infrastructures ; par exemple, le serveur web d'Elite Proxy à l'adresse IP 185.17.0.31 a été identifié à l'aide de la même clé SSH Runtz. Ce serveur hébergeait quatre services SSH distincts sur les ports 22, 1337, 8080 et 9090. Le service SSH sur le port 9090 utilisait une clé SSH différente partagée avec cinq autres hôtes. Parmi ces hôtes, deux utilisaient des panneaux de connexion Nosviak.

67.211.216.8 (capital-consulting[.]ru)	178.215.238.160 (domaine inconnu)

Un autre hôte découvert utilisant l'empreinte SSH de Runtz était Dream C2 à 37.114.63.131 qui exploitait un serveur SSH secondaire sur le port TCP 9999 avec une empreinte (d281...69b6) partagée avec 18 hôtes supplémentaires, dont un sous-ensemble était désigné sous le nom de "Erf CNC".

Panneau de connexion ErfCNC

... Et ces hôtes Erf CNC incluent un corps de réponse HTTP unique, qui nous a permis de pivoter vers d'autres hôtes associés. Parmi ceux-ci, trois hôtes spécifiques - 37.114.50.59, 45.13.225.73 et 109.71.252.43 - présentent un formulaire de connexion administrative qui semble être une nouvelle marque de Nosvik.

Tracer C2 est lié à d'autres services, tels que 93.123.85.191 (WaterNetworkk / 2af0...14cc), qui exécute une page d'état sur le port 80 énumérant les types d'attaques qu'il prend en charge.

Mais cette page d'état C2 de Tracer utilise une favicon GitLab rarement utilisée et que l'on ne trouve que sur un petit nombre d'autres hôtes.

Par exemple, 103.211.201.207 (avec un titre HTML "SSN Funnel Build" (peut-être lié à la fonction "Funnel" de Nosviak)) et 167.114.4.98 ("SSN API Build") hébergent tous deux des serveurs HTTP sur le port 80 qui semblent être des pages d'état de construction d'API spécifiques au réseau de zombies.

Le même favicon de GitLab est également présent sur plusieurs hôtes autonomes : 160.30.21.74 présente une page d'état sur le port 80 avec le titre HTML "Tajima C2/API", tandis que 212.193.31.66 s'identifie comme "CRIMINALITY API".

160.30.21.74	212.193.31.66

Cela suggère que les administrateurs automatisent le provisionnement de nouveaux serveurs API en utilisant GitLab en tant que CI/CD, ce qui leur permet d'itérer plus rapidement sur les nouvelles versions.

Outre les différents noms de domaine dont nous avons déjà parlé, plusieurs autres ont été trouvés associés à ce réseau :

À l'heure où nous écrivons ces lignes, la majeure partie de cette infrastructure est hébergée chez OVH (AS16276) et Aeza (AS216246), tous géographiquement répartis en Allemagne, aux Pays-Bas, aux États-Unis, en Russie et dans d'autres régions où de telles opérations peuvent apparemment passer inaperçues ou ne faire l'objet d'aucune sanction.

En réalité, bon nombre de ces services semblent faussement innocents, reflétant souvent un réseau d'individus - peut-être de jeunes enthousiastes - appliquant leurs compétences techniques et leurs intérêts d'une manière qui pourrait avoir des conséquences néfastes. Si le premier public visé semble être celui qui cherche à perturber les serveurs de jeux et les serveurs de discussion, cela n'exclut pas que ces réseaux puissent être utilisés à des fins beaucoup plus malveillantes.

Nous avons développé une requête de recherche unique sur Censys qui consolide tous les indicateurs discutés dans ce billet. À l'heure où nous écrivons ces lignes, la requête identifie plus de 155 hôtes.

Vous trouverez ci-dessous un tableau qui décompose chaque élément de la requête de recherche en fonction de ce qu'elle recherche.