El Malware SystemBC Convierte los Servidores VPS en Proxies de Alta Capacidad para Delincuentes

Investigadores revelaron que el botnet SystemBC convierte los servidores VPS en servidores proxy para operaciones criminales que incluyen ataques REM Proxy y de ransomware en todo el mundo.

La firma de ciberseguridad Lumen Technologies ha descubierto nuevos detalles sobre la botnet “SystemBC”. Esta vasta red de más de 80 servidores de comando y control (C2s), se encontró que había comprometido alrededor de 1,500 sistemas diariamente. Los investigadores dicen que casi el 80% de estas víctimas son servidores privados virtuales (VPS) de grandes proveedores.

“Al manipular sistemas VPS en lugar de dispositivos en el espacio IP residencial, como es típico en las redes de proxy basadas en malware, SystemBC puede ofrecer proxies con grandes cantidades de volumen durante períodos de tiempo más largos”, dijeron los investigadores.

Los investigadores explican que estos sistemas VPS infectados funcionan como servidores proxy, generando grandes cantidades de tráfico malicioso que las organizaciones criminales utilizan para llevar a cabo sus operaciones.

La botnet también admite REM Proxy, una gran red de marketing con 20,000 routers Mikrotik y otros proxies abiertos.

Lumen explica que REM Proxy opera como un servicio de proxy que respalda a los grupos de ransomware, como Morpheus y TransferLoader, ofreciendo diferentes servicios de proxy que incluyen opciones rápidas y sigilosas, así como direcciones IP asequibles para el cracking de contraseñas.

“SystemBC ha mostrado una actividad sostenida y una resistencia operativa a lo largo de varios años”, dijo Lumen, señalando que el malware originalmente documentado en 2019 sigue siendo una herramienta clave para los grupos criminales. Cada servidor infectado promedia 20 vulnerabilidades sin parchear, con algunos mostrando más de 160.

El malware funciona como una herramienta proxy que permite a los atacantes redirigir el tráfico a través de computadoras infectadas. Los operadores se centran en el volumen en lugar de la sigilo; en una prueba, una sola IP generó más de 16 gigabytes de datos en 24 horas.

Lumen ha bloqueado todo el tráfico hacia y desde la infraestructura de SystemBC y REM Proxy a través de su red global. Los investigadores también liberaron indicadores de compromiso (IoCs) para ayudar a otros a protegerse.

“Continuaremos monitoreando la nueva infraestructura, la actividad de los objetivos y expandiendo los TTPs; y colaboraremos con la comunidad de investigación de seguridad para compartir los hallazgos”, concluyó el informe.