Amazon, godaddy populære valg for hosting av malware

Vi elsker skyen fordi det er lettere å spinne opp en server for å være vert for et nettsted eller kjøre et webapplikasjon hvis noen andre tar seg av alle maskinvareoppgavene. Det ser ut til at kriminelle elsker hostingleverandører også, spesielt Amazon og GoDaddy.

Cyber-kriminelle bruker cloud computing av mange av de samme grunnene som legitime bedrifter og enkeltpersoner er. Solutionary fant i sin trusselrapport for fjerde kvartal 2013 (PDF). Kriminelle skjuler også sin ondsinnede virksomhet bak omdømmet til store vertsleverandører som Amazon, GoDaddy og Google. Faktisk, av de store webhotellleverandørene der ute, fant Solutionary at Amazon og GoDaddy var de mest populære for hosting av malware.

"Nå må vi opprettholde vårt fokus ikke bare på de farligste delene av nettet, men også på de delene vi forventer å være mer pålitelige, " sier Rob Kraus, forskningsdirektør i Solutionarys Research Engineering Research Team.

Hvorfor sky?

Det er mye fornuftig å skifte til skyen, siden det er raskere å utvikle et ondsinnet nettsted og bringe det online, samt billigere å gjentatte ganger endre IP-adresser og domenenavn for å unngå oppdagelse. Kriminelle kan bruke flere leverandører og utvide driften betydelig, i stedet for å prøve å sette opp fysiske webservere på flere steder. Rapporten fant for eksempel et enkelt skadelig domene som var spredt over 20 land, 67 leverandører og 199 unike IP-adresser for å unngå å bli oppdaget eller blokkert.

Distributører av skadelig programvare bruker "teknologiene og tjenestene som gjør prosesser, applikasjonsdistribusjon og opprettelse av nettsteder enklere, " sa Kraus.

Kriminelle dekker også sporene sine bedre og har en høyere grad av suksess hvis de er avhengige av store hostingleverandører. Tatt i betraktning at organisasjoner ofte filtrerer bort trafikk ved hjelp av geografiske svartelister og lister over kjente dårlige IP-adresser, trenger kriminelle et sted "trygt" som ikke automatisk utløser et varsel. Det er her store hostingleverandører kommer inn, da de lar distributører av skadelig programvare etablere butikk på et pålitelig adresseområde. Organisasjoner som kan blokkere trafikk fra Ukraina, er mindre sannsynlig å blokkere trafikk fra Amazon og GoDaddy, for eksempel.

Solutionary påpekte også at geografisk svartelistings- og blokkeringsstrategier ikke er effektive metoder for å oppdage og blokkere malware-angrep, siden 44 prosent av verdens skadelig programvare er hostet i USA til å begynne med.

Piggybacking på pålitelige merkevarer

Å gjemme seg bak pålitelige domener og navn er imidlertid ikke noe nytt. Spammere liker å bruke populære webmail-leverandører fordi folk automatisk stoler på en melding fra @ outlook.com eller @ gmail.com mer enn en fra @ 50orcdn.com. Angripere bruker også Google Dokumenter og Google Nettsteder for å lage skjemaer som kan lure brukere til å sende inn sensitiv informasjon eller laste ned skadelig programvare. Cloud lagringsleverandører som Dropbox har vært plaget i det siste med kriminelle som benyttet seg av gratis tjenester for å være vert for malware.

På grunn av Amazons enorme størrelse, er det fornuftig at det er vertskap for mer ondsinnede nettsteder enn konkurrentene. Uansett er det klart at angripere i økende grad behandler hostingleverandører som "betydelige distribusjonspunkter, " sa Kraus.

I Solutionarys rapport fant forskerne at angripere enten kjøper tjenester fra store vertsleverandører direkte eller kompromitterer nettsteder som allerede er vertskap på disse plattformene. Brukerne vet generelt ikke hvordan de skal ta skritt for å herde applikasjonene sine, noe som gjør dem sårbare for angrep. Noen leverandører, for eksempel Amazon med sin Elastic Cloud Compute (EC2) -tjeneste, belaster den faktiske båndbredden som forbrukes. Dette betyr at kriminelle først kan sette opp kampanjen i liten skala, og deretter utvide seg etter behov.

"Jo mer lukrativ kriminell virksomhet er, desto mer vil midler være tilgjengelige for å betale for den økende kapasiteten etter behov, " opplyser Solutionary.

De fleste skyleverandører - spesielt Amazon - har sikkerhetspolitikk på plass for å stenge ondsinnede nettsteder og kontoer så snart de blir oppdaget. Når leverandøren er stor, med hundretusener av servere og tusenvis av brukere som fyrer opp nye applikasjoner hver måned, er dette imidlertid en utfordrende oppgave. Som et resultat, bør du ikke bare anta at trafikk fra visse nettsteder automatisk er trygg, eller stole på at leverandørene politiserer aktivitetene. Det er på deg å praktisere sikker databehandling ved å holde datamaskinen din sikker og å undersøke hvert nettsted for å finne ut om det er legitimt eller ikke.