Дрейнеры — новая связка в мире криптовалют. Она растет ударными темпами и уже обошла программы-шифровальщики по распространенности и объёмам транзакций. Попытаемся разобраться в особенностях работы дрейнеров, а также устройстве выросшей вокруг них инфраструктуры. Об этом сегодня и поговорим.
Главная владельца любой связки — это убедить пользователя сделать так, чтобы тот выдал информацию, которую он выдавать посторонним и не должен. В случае с дрейнерами — убедить пользователя дать смарт‑контракту разрешение взаимодействовать со его средствами.
Представь, что хочешь ты подключить свой кошелек MetaMask на сайте какого‑ниудь проекта, чтобы получить немного крипты. Скажем, ты хочешь приобрести новый токен, пока он дёшев. нажимаешь кнопку Connect, вводишь свой пароль и подписываешь транзакцию — одобрение на доступ к кошельку.
Тут‑то тебя и ловит дрейнер: делает так, чтобы вместо легитимного контракта на получение токенов ты подписал кастомный смарт‑контракт и тем самым дал разрешение на трансфер всех своих криптовалютных средств. Получается, ты сам соглашаешься отдать все свои деньги владельцу связки.
Как так может получиться? Лучше всего это работает на эйрдропах — раздачах новых токенов. На них слетается множество желающих получить немного крипты, которая потом может вырасти в цене в десятки раз. Такие раздачи действительно иногда устраивают грамотные люди, чтобы прокачать тот или иной свой новый токен. В этот момент пользователя гонит то, что называется FOMO, — чувство, что он может упустить выгоду.
Мамонт в спешке может и не проверить, кем создана страница, с которой он взаимодействует, и что конкретно делает смарт‑контракт, разрешение которому он выдает. Сайт же при этом может быть полностью скопирован владельцем связки с настоящего, а смарт‑контракт — забирать деньги вместо того, чтобы их отдавать.
ДРЕЙНЕРЫ НАБИРАЮТ ОБОРОТ
В прошлом году случилось интересное событие: дрейнеры обогнали по темпам распространения и выручке обычные шифровальщики. Программы-вымогатели, конечно, продолжает быть бичом крупного бизнеса, но тимлиды площадок устремились в новые, пока ещё свободные ниши.
Самые первые дрейнеры распространялись в качестве скриптов на даркнет площадках. По данным «Лаборатории Касперского», в позапрошлом году было 55 уникальных форумов, на которых встречались дрейнеры. В прошлом году таких местечек уже было 129. То есть рост более чем в два раза за два года.
И это только для такого специфического и пустоватого, по сути, места, как дарквеб. В основном все взаимодействие сейчас происходит в Telegram и Discord.
Самые крупные дрейнеры, которые были активны в прошлом году, — это Angel, Inferno, Ping, Ace, Cerberus, Nova, Medusa, MS, CryptoGrab и Venom. Из них сейчас активны в основном Angel и Ace, но зато появился новый игрок — Vanilla. Пока он не очень исследован, поскольку работает по приватной модели: получить доступ к нему рядовому трейдеру сложно.
По данным компании Scam Sniffer, которая занимается анализом транзакций в сетях криптовалют, за прошлый год общие потери от дрейнеров составили 494 миллиона долларов.
И это только крупные кейсы по реализации связки, которые удалось посчитать! Поскольку дрейнеры направлены на обычных пользователей, мелкие транзакции вроде нескольких тысяч долларов в эту статистику даже не попадают. Так что это лишь нижняя граница.
Среди больших компаний в прошлом году — более 330 тысяч мамонтов. Рекордная транзакция за тот год — 55 миллионов долларов. Всего крупных кампаний с использованием связки дрейнеров было около 30 — в полтора раза больше, чем в позапрошлом году.
В первом квартале прошлого года дрейнеры показали рост почти в шесть раз. В то же время рынок рансомвари увеличился только вдвое.
Что означают эти цифры? Из‑за простоты входа в эту индустрию сюда устремляются тимлиды и процессоры с инкассаторами, которые занимались рассылкой спама, заманивая мамонтов на кастомные площадки и поддельные страницы банков, и промышляли прочими традиционными видами скама.
Направив свои навыки на криптовалютчиков, они смогли получить безумные профиты. Даже рядовой работяга здесь может «зарабатывать» от 100 000 долларов в месяц. Кажется, что пара месяцев такого труда могут обеспечить квартирой, машиной и регулярным отпуском в Таиланде. Разок рискнул, и можно выходить из игры! Но, конечно, почувствовав вкус наживы, никто через два месяца из этого бизнеса никто не уходит.
ПОЧЕМУ ЭТО ПРОСТО
Если рансомварь нацелена в первую очередь на компании, то дрейнеры работают с простым пользователем и потенциально могут дотянуться до любого, кто взаимодействует с криптовалютами. Дрейнеры стали очень популярными именно из‑за широкого охвата и простоты перехода в эту сферу. Плюс сказывается, что в крипте вертятся серьезные деньги и пользователи привыкли ими легко распоряжаться.
Рансомварщику приходится связываться с компанией, торговаться, организовывать передачу денег и расшифровку — это довольно муторно. Дрейнер же забирает деньги сразу. Как и многие другие виды скама, дрейнеры распространяются по модели SaaS — Software-as-a-Service. Их даже называют DaaS, то есть Drainer-as-a-Service.
Происходит и характерное разделение работы. Есть разработчики (те, кто делает малварь) и вокеры (рядовые работники), а также рекрутеры, специалисты по нагону трафика и поставщики самых разных сопутствующих услуг. Главную задачу, конечно, выполняют разработчики: они создают кастотмное программное обеспечение, делают его более удобным для использования, легким в развертывании и масштабировании. В целом, если отвлечься от его сущности - это обычный ИТ‑продукт.
КАК СОЗДАЕТСЯ КАМПАНИЯ
Что делает тимлид площадки, чтобы такое провернуть? Вот что ему нужно, чтобы устроить фишинговую кампанию:
- домены для будущих сайтов, похожие по написанию на название копируемого проекта;
- хостинг — место, где будет помещен сайт;
- лендинг — страница, похожая на легитимный проект;
- код дрейнера (как правило, это JS-код, который будет храниться на сайте);
панель управления, которая позволит знать, сколько пользователей удалось заманить на страницу, и отслеживать их поведение; - средства собственной безопасности: VPN, Proxy, SockPuppet-аккаунты.
Профессиональные тимлиды обычно ставят полноценный C&C-сервер на площадке, позволяющий контролировать поведение дрейнера.
НАГОН ТРАФИКА
Все крупные сети и особенно сети провайдеров строятся на одном протоколе — BGP. Рассмотрим с технической стороны один из главных недостатков BGP: полное отсутствие проверки полученных маршрутов. Из-за этого возможна уязвимость, которая называется route leak или «утечка маршрутов».
Сам по себе BGP никак не защищен от воздействий извне. Eжедневно происходят десятки и сотни случаев утечки маршрутов, и сказать наверняка, была это спланированная атака или ошибка в конфигурации, невозможно. Часть трафика попадает из сетей магистральных провайдеров в неизвестность.
Ты легко сможешь найти ботов и сайты, на которых частенько всплывают сообщения о route leaking или hijacking.
Route leaks чаще случаются из-за ошибки в конфигурации, неверной либо полностью отсутствующей фильтрации на стыке с вышестоящим провайдером. Подразумевается, что route leaking — это транзитное перенаправление трафика через сторонние автономные системы, hijacking — анонсирование чужих префиксов из AS (Autonomous System), которым он не должен принадлежать.
чем опасен route leak?
Route leaking и hijacking вызывают неприятности: иногда это задержки, а порой и атаки DOS или MITM.
Чтобы разобраться, как возникает route leak, необходимо понять основные механизмы работы BGP, поскольку утечка вызывается без каких-либо дополнительных манипуляций.
BGP использует номера автономных систем, и по этому критерию выделяют iBGP и eBGP. Разница в том, что iBGP (internal) работает в пределах одной автономной системы, eBGP (external) — между разными. Сейчас нас интересует eBGP: route leak происходит из-за неверных настроек между пирами eBGP.
предотвращение петель маршрутизации
Для предотвращения петель маршрутизации пиры BGP проверяют атрибут AS PATH. Если в AS PATH есть собственный номер AS — роутер его отбрасывает. Это и есть петля.
Для пиров eBGP действует правило: при получении сообщения UPDATE, в котором хранится информация о маршрутах, следует передать сообщение всем пирам BGP. Для пиров iBGP номер AS не меняется, сообщение UPDATE не передается другим пирам. Это стандартный механизм.
выбор наилучшего пути
BGP использует алгоритм из нескольких шагов (от десяти до тринадцати). В зависимости от вендора и информации о доступности сетей через несколько источников протокол выбирает только один путь, помещает его в локальную таблицу маршрутизации и передает своим пирам.
Есть много способов повлиять на этот выбор. Сейчас мы остановимся на атрибуте AS PATH. Он состоит из последовательности номеров, каждая автономная система добавляет в поле UPDATE сообщения номер своей AS в порядке очереди.
При прочих равных путь через этот источник короче. Этот процесс можно сравнить с платной дорогой. Представь, что до твоего места назначения две дороги: на одной три пункта оплаты проезда, на второй два, цены на обоих одинаковы.
Отсюда вытекает процесс route leak — эффект бабочки: чистый BGP без фильтров может быть крайне опасен и нарушить оптимальные пути трафика.
практика
R1 и R4 выступают в качестве пограничных провайдерских роутеров, оба маршрутизатора анонсируют сети 192.168.0.0/24 и 172.16.0.0/24 соответственно из своих AS 1 и AS 2. У каждого провайдера есть договоренность с магистральными провайдерами (R2 и R3) о том, что R1 и R4 будут перегонять трафик через них, а AS 2 и AS 3 обеспечат нужную пропускную способность, надежность и защиту.
Мы подключим в эту схему провайдера R5. Теперь мы можем, изменив длину AS path, стать транзитной AS для трафика между AS 1 и AS 2, пропустить через себя весь транзитный трафик, имея доступ только к R5. R1 и R4 настроили пиринг до адресов 10.0.0.2 и 20.0.0.2 соответственно.
Классический случай для route leaking. Новая автономная система имеет как минимум два пира с разными AS: route leak подразумевает возможность транзита любого трафика.
настраиваем пиринг с провайдерами
Проверяем таблицу маршрутизации от R1 до сетей R4:
Переходим к конфигурации с R5:
Получаем маршруты от провайдера R1 и переходим к конфигурации с провайдером R4.
Аналогичным образом, получив таблицу маршрутов от провайдера R4, R5 запустил свой расчет и посчитал, как быстрее всего добираться до каждой сети в нашем при мере.
Маршрутизаторы R1 и R4, которые выступают в нашем при мере в качестве провайдеров, тоже получили сообщения UPDATE от маршрутизатора R5. Запустили алгоритм выбора лучшего маршрута в BGP (BGP best path selection) и добавили маршрут R1 — R5 — R4 как лучший в свою локальную таблицу маршрутизации.
Так мы стали транзитным провайдером для трафика из сетей 192.168.0.0 и 172.16.0.0
Мы видим следующее:
На первый взгляд, не произошло ничего необычного, стандартный алгоритм работы BGP. Но никто не хочет, что бы его трафик шел через какие-то сторонние мелкие AS, не предоставляющие услуги IP-транзита или не являющиеся точками обмена трафиком (IXP).
Всплывает ряд проблем: uplink до провайдеров может не справиться с пропускной способностью, возникнут задержки, трафик может быть перехвачен и зазеркален.
Что бы предотвратить такие ситуации, провайдеры должны настраивать community или фильтры ip prefix list для контроля за получением и отдачей трафика. Но потери или угон трафика все равно случаются.
BGP HIJACKING
В случае BGP hijacking нам необязательно быть транзитной AS, от нас требуется просто анонсировать из своей AS чужие сети.
Теперь ближайшие AS примут наш UPDATE и станут пересылать трафик в нашу автономную систему. Мы получим доступ до всего трафика, адреса назначения которого находятся в сети 192.168.0.0/24. Однако, сети провайдера защищены от хайджекинга, они просто не принимают маршруты, маска которых больше /25.
Мы рассмотрели route leak и hijacking на очень скромном примере, однако и в глобальных сетях мировых магистральных провайдеров похожее про исходит чуть ли не ежедневно.
И ЧТО ЭТО ДАЁТ МНЕ?
Использование BGP route leaking для нагона трафика на связку с дрейнерами выглядит весьма выгодным направлением работы тимлидов, перешедших в тему с площадок процессинга.
На некоторых форумах даркнета уже появились ветки с услугами BGP Hijack as a Service, но там работают только с проверенными людьми и с надёжной репутацией. Нужен SSL сертификат от любого сайта или криптомоста? Это тоже уже не проблема, в рамках предоставления услуги BGP Hijack as a Service легко решаются и такие вопросы.