Größter bisher bekannten bösartigen Traffic-Broker entlarvt Funktionsweise des kriminellen Affiliate-Netzwerks VexTrio enttarnt

Anbieter zum Thema

Infoblox Germany GmbH

FTAPI Software GmbH

VexTrio, Betreiber eines riesigen kriminellen Affiliate-Netzwerks und selbst Angreifer, spielt seit Jahren eine zentrale Rolle bei der Verarbeitung von Traffic. Während es schwierig ist, VexTrio zu identifizieren und zu verfolgen, unterbricht dessen direkte Blockierung eine Vielzahl von cyberkriminellen Aktivitäten. Durch die Entdeckung wird der gesamte Cyberspace sicherer.

Cyberkriminelle werden oft als eingeschworene Hacker-Banden oder einsame geniale Hacker porträtiert– doch in Wahrheit boomt der Kauf und Verkauf von Dienstleistungen rund um Malware als Teil einer großen kriminellen Wirtschaft.

Malware-as-a-Service (MaaS) ermöglicht Käufern einen einfachen Zugang zu der für Straftaten erforderlichen Infrastruktur. Die Dienstleister gehen strategische Partnerschaften ein, ähnlich wie seriöse Unternehmen es tun. Diese Beziehungen werden im Geheimen geknüpft und umfassen meist mehrere Akteure – das macht es fast unmöglich, sie zu durchschauen. Eine dieser Beziehungen wurde nun allerdings aufgedeckt: Security-Forscher von Infoblox entlarvten jetzt ein großes, langjähriges kriminelles Partnerprogramm mit über 60 Akteuren, darunter bekannte Namen wie SocGholish und Clearfake. Das Herzstück bildet der wohl größte in der Sicherheitsliteratur beschriebene Broker für bösartigen Traffic: VexTrio.

VexTrio: Funktionsweise des kriminellen Affiliate-Netzwerks

VexTrio ist nicht nur selbst Akteur im Malware-Geschäft, sondern vor allem auch der Betreiber eines riesigen kriminellen Affiliate-Netzwerks und operiert seit langem als Schlüsselfigur in der Traffic-Vermittlung. Die Gruppe ist in einer größeren Anzahl von Netzwerken präsent als jeder andere Bedrohungsakteur und gemessen am Abfragevolumen geht von ihm die größte Bedrohung aus. Dabei funktioniert VexTrios Affiliate-Programm ähnlich wie seriöse Marketing-Affiliate-Netzwerke.

Ein Angriff betrifft meist mehrere Unternehmen. Teilnehmende “Partner” leiten den ausgehenden Datenverkehr ihres eigenen Netzwerks (z. B. manipulierte Websites) an von VexTrio kontrollierte Traffic-Distribution-System-Server (TDS) weiter. Von dort aus wird der Traffic selektiv an Seiten böswilliger Akteure oder an andere bösartige Affiliate-Netzwerke übermittelt. VexTrio stellt nicht nur die kriminelle Infrastruktur für andere zur Verfügung, sondern agiert auch als Bedrohungsakteur, der selbst Kampagnen durchführt.

TDS-Server spielen eine zentrale Rolle bei VexTrio-Angriffen, da sie über Erfolg und Misserfolg der Maßnahmen entscheiden können. Ein TDS analysiert das Profil eines Opfers, einschließlich seiner Browser-Einstellungen und zwischengespeicherter Daten. Entspricht das Profil den Zielkriterien von VexTrio, leitet das TDS den Webbesucher auf schädliche Webseiten um. Dank dieser Funktion wird der eingehende Datenverkehr gefiltert, sodass nur Webbesucher angesprochen werden, die in das Zielprofil des Akteurs passen. Außerdem schützt sie nachgelagerte Bedrohungsakteure und Landing-Pages vor Sicherheitsexperten. Dadurch konnte VexTrio so lange unentdeckt bleiben.

Gemeinsam gegen TDS-Bedrohungen

VexTrio zu identifizieren und zu verfolgen ist zwar schwierig, aber es lohnt sich: Die direkte Blockierung unterbricht eine Vielzahl von cyberkriminellen Aktivitäten. Die Angriffskette an der Stelle zu stören, an der der Datenverkehr verteilt wird, stoppt weitaus mehr bösartige Aktivitäten als das Auffinden der letztlichen Landingpages und das Blockieren der Malware-Signaturen.

Unternehmen, die ihre Beschäftigten vor diesen Angriffen schützen wollen, sollten die TDS-Domänen bereits auf der DNS-Ebene blockieren, da sie das Einfallstor für bösartige Angriffe und Inhalte ist. Durch die DNS-Überwachung können bösartige Aktivitäten unabhängig von der Anzahl der kompromittierten Webseiten vereitelt werden. Eine verstärkte branchenweite Zusammenarbeit bei der Ermittlung, Identifizierung und Bekämpfung bösartiger TDS-Anbieter würde den Gegnern das Spielfeld zudem deutlich erschweren.

Über die Autorin: Dr. Renée Burton ist die Leiterin der Abteilung Threat Intel bei Infoblox. Sie ist Expertin für DNS-basierte Bedrohungen und leitet die Algorithmenentwicklung und Forschung im Bereich DNS-Intelligence.

(ID:49978122)