レジデンシャルプロキシネットワークは、詐欺、クレデンシャルスタッフィング、アカウント乗っ取り、スパム、そして大規模な自動化された不正行為を可能にする重要な手段になっています。
新たな調査によると、帯域幅共有アプリケーションであるPEER2PROFITは、従業員や個人のデバイスを商用プロキシの出口ノードに変えることができ、それがASTROPROXYを通じて収益化されることで、企業のIPアドレス空間や内部からアクセス可能なリソースが露出する可能性があるといいます。
この関係性は、制御された環境でのテストによって確認されました。研究者らはクリーンな状態のレジデンシャルデバイスをPEER2PROFITネットワークに登録したところ、その公開IPアドレスが約10分後にASTROPROXYのレジデンシャルプロキシプールに出現するのを確認したのです。
安価で比較的識別しやすいデータセンタープロキシとは異なり、レジデンシャルプロキシのトラフィックは正規のISPが割り当てたアドレスから発信されます。
そのため、リクエストは一般家庭、モバイル加入者、企業、大学、あるいは社内ネットワークから送信されているように見えます。
これにより、従来のIPレピュテーションシステムでは不十分になります。あるIPアドレスがある時間帯には無害でも、悪用履歴が蓄積されるずっと前に、次の瞬間には稼働中のプロキシ出口ノードへと変わり得るからです。
PEER2PROFITは必ずしもマルウェアとして展開されるわけではありません。インターネット接続をトラフィックの中継に利用する対価としてユーザーに報酬を支払う、受動的収入サービスとして宣伝されています。
Antivirus& Malware
その導入手続きはTelegramに移行したと報告されており、ユーザーはそこでデバイスを登録し、使用状況を監視し、暗号資産の報酬を引き出すことができます。
このような手軽さは、企業にとって重大なリスクを生み出します。従業員が業務用エンドポイントや、オフィスのWi-Fiに接続された個人所有のデバイス、あるいは企業VPN経由で接続された自宅のシステムに帯域幅共有クライアントをインストールしてしまう可能性があるのです。
いったん登録されると、その組織の公開IPアドレスがプロキシ利用者に対して出口ポイントとして提供される可能性があります。
その接続を経由して中継されたトラフィックは、すべて企業から発信されたように見えてしまいます。
これにより、クレデンシャルスタッフィングの試行、広告詐欺、悪意のあるスキャン、金融詐欺、スパム送信、レート制限の回避などと、企業のIPレンジが関連付けられてしまう恐れがあります。
その結果生じる評判の毀損は、SaaSプロバイダー、決済プラットフォーム、不正防止サービス、パートナーネットワークによるブロックリスト登録を招く可能性があります。
PEER2PROFITのWindows SDKを分析したところ、典型的なバックコネクト型プロキシのアーキテクチャが判明しました。クライアントはまずapi[.]peer2profit[.]globalを通じて登録を行い、デバイス情報とクライアント情報を送信してプロキシの調整サーバーを取得します。
登録されたエンドポイントは、その後バックコネクトサーバーへの持続的なアウトバウンドセッションを確立します。
プロキシ利用者がターゲットへのアクセスを要求すると、サーバーはHTTP CONNECTリクエストをそのデバイスに転送します。デバイスは要求された宛先への接続を開き、ターゲットとプロキシインフラの間でデータを中継します。
このプロトコルは、転送されるデータを難読化するために、軽量なバイナリラッパーとニブル反転を使用しています。
プロキシ経由の各リクエストは個別のスレッドで処理され、StartLet-Contextヘッダーを通じて専用のバックコネクトソケットに紐付けられます。
研究者らは、ロシアのDatacheap、米国のLeaseweb、カザフスタンのPSKZ、フランスのOVHなど、限られたホスティングプロバイダーおよび自律システム(AS)にまたがるバックコネクトインフラを特定しました。
このインフラは、絶えず入れ替わるレジデンシャル出口ノードのプールよりもはるかに安定しているため、ハンティングや検知のシグナルとしてより有用です。
Silent Pushの研究者らによると、この発見は一連の運用パイプラインを浮き彫りにしているといいます。PEER2PROFITがユーザーを勧誘して帯域幅の対価を支払う一方、ASTROPROXYはその帯域幅へのアクセスをレジデンシャルプロキシの能力として販売しているのです。
Peer2Profitプロキシの脅威
過去のインフラ分析では、当初PEER2PROFITとASTROPROXYは共有されたSSL証明書の情報を通じて関連付けられていました。その後、制御された環境での登録テストにより、ASTROPROXYがPEER2PROFITから供給されるレジデンシャル接続を実際に販売していたことが確認されました。
このモデルの裏にある利幅は相当なものです。PEER2PROFITはレジデンシャルユーザーに対して1GBあたり約0.28ドルを支払う一方、ASTROPROXYはレジデンシャルプロキシのトラフィックを1GBあたり約7.60ドルで販売していると報告されています。
モバイルトラフィックについては1GBあたり約0.35ドルで支払われ、13.44ドルで販売されています。この差額の大きさが、より多くのエンドポイント帯域幅を勧誘しようとする強力な動機になっているのです。
レジデンシャルプールはロシアとベトナムが中心で、両国だけで観測された全IPアドレスの40%以上を占めています。これにポルトガル、ウクライナ、ブラジルが続きます。
ASTROPROXYのプールを72時間にわたって列挙した結果、117,224件のユニークIPアドレスが特定されました。内訳はレジデンシャルが60,247件、データセンターが38,762件、モバイルノードが18,215件です。
レジデンシャルノードだけでも1時間あたり平均1,071件の新規IPアドレスが追加されており、これが静的なブロックリストや事後対応型のレピュテーションシステムが急速に陳腐化してしまう理由を裏付けています。
最も深刻な発見は、社内ネットワークへのアクセスに関するものです。研究者らの報告によると、ASTROPROXYは内部IPアドレスへの直接的なリクエストをブロックしていたものの、プライベートアドレスに解決されるドメイン名を使用することでこの制限を回避できたといいます。
PEER2PROFITに支えられたノードを利用して、研究者らはMEOのレジデンシャルルーター管理インターフェースにアクセスし、接続性の証拠としてPNGファイルを取得しました。
このテストは、プロキシの利用者が、登録済みノードからアクセス可能なルーターのインターフェース、NASアプライアンス、スマートデバイス、その他の社内サービスに到達できる可能性があることを示しています。
企業にとって、この影響はさらに深刻です。企業VPNに接続した状態でこうしたソフトウェアを実行しているリモート従業員や、オフィスネットワークでそれを実行しているユーザーが、意図せずプロキシ利用者に社内資産への経路を提供してしまう可能性があるのです。
国、都市、AS番号、接続種別によるフィルタリングを提供するプロキシサービスは、企業やISPに近接するノードを狙って選別することを、さらに容易にする恐れもあります。
企業は帯域幅共有ソフトウェアの棚卸しと制限を行い、既知のプロキシ調整インフラへの持続的なアウトバウンド接続を監視し、スプリットトンネル型VPNのポリシーを見直すとともに、過去のIPレピュテーションのみに頼るのではなく、能動的なプロキシノードのインテリジェンスを活用すべきです。
IOCs
| Name | File Type | SHA256 |
| p2p-sdk[.]dll | DLL | 0b10a1e48df2884a7a8a1ebf5aa903207955433c8ea00d7602c78be6e6c177cc |
| p2pclient | ELF | eb8826bac873442045a6a05f1fa25b410ca18db6942053f6d146467c00d5338d |
| Peer2Profit-0.47[.]dmg | DMG | 8871d12a7bb7529ff6e90ad5a18c86e92a402a2d02d3283d1385bdb52ba2b0f2 |
Note: IPアドレスとドメインは、意図しない名前解決やハイパーリンク化を防ぐため、意図的に無害化表記（例: [.]）にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
★ どのセキュリティツールを削減すべきか？1ページでスコア化 – 継承されたセキュリティスタックガイドをダウンロード
Cloudsecurity services
翻訳元: https://gbhackers.com/peer2profit-proxy-threat/
