Investigadores de ciberseguridad han revelado un aumento de "escaneos masivos, ataque de fuerza bruta de credenciales e intentos de explotación" originados desde direcciones IP asociadas a un proveedor ruso de servicios de hosting blindado llamado Proton66.
La actividad, detectada desde el 8 de enero de 2025, se dirigía a organizaciones de todo el mundo, según un análisis en dos partes publicado por Trustwave SpiderLabs la semana pasada.
"Los bloques de red 45.135.232.0/24 y 45.140.17.0/24 fueron particularmente activos en términos de escaneos masivos e intentos de fuerza bruta", señalaron los investigadores de seguridad Pawel Knapczyk y Dawid Nesterowicz. "Varias de las direcciones IP infractoras no se habían visto anteriormente implicadas en actividades maliciosas o llevaban inactivas más de dos años".
Se considera que el sistema autónomo ruso Proton66 está vinculado a otro sistema autónomo denominado PROSPERO. El año pasado, la empresa de seguridad francesa Intrinsec detalló sus conexiones con servicios blindados comercializados en foros rusos de ciberdelincuencia bajo los nombres Securehost y BEARHOST.
Varias familias de malware, como GootLoader y SpyNote, han alojado sus servidores de mando y control (C2) y páginas de phishing en Proton66. A principios de febrero, el periodista especializado en seguridad Brian Krebs reveló que Prospero había empezado a dirigir sus operaciones a través de redes gestionadas por el proveedor ruso de antivirus Kaspersky Lab en Moscú.
Sin embargo, Kaspersky negó que haya trabajado con Próspero y que el "enrutamiento a través de redes operadas por Kaspersky no significa por defecto la prestación de los servicios de la compañía, ya que la ruta del sistema automático (AS) de Kaspersky podría aparecer como un prefijo técnico en la red de los proveedores de telecomunicaciones con los que trabaja la compañía y proporciona sus servicios DDoS".
El último análisis de Trustwave ha revelado que las peticiones maliciosas originadas desde uno de los bloques de la red de Proton66 (193.143.1.65) en febrero de 2025 intentaban explotar algunas de las vulnerabilidades críticas más recientes.
- CVE-2025-0108: Una vulnerabilidad de omisión de autenticación en el software PAN-OS de Palo Alto Networks
- CVE-2024-41713: Una vulnerabilidad de validación de entrada insuficiente en el componente NuPoint Unified Messaging (NPM) de Mitel MiCollab
- CVE-2024-10914: Una vulnerabilidad de inyección de comandos D-Link NAS
- CVE-2024-55591 y CVE-2025-24472: Vulnerabilidades de omisión de autenticación en Fortinet FortiOS
Vale la pena señalar que la explotación de las dos fallas Fortinet FortiOS se ha atribuido a un corredor de acceso inicial apodado Mora_001, que se ha observado la entrega de una nueva cepa ransomware llamado SuperBlack.
La empresa de ciberseguridad también ha observado varias campañas de malware vinculadas a Proton66 y diseñadas para distribuir familias de malware como XWorm, StrelaStealer y un ransomware llamado WeaXor.
Otra actividad notable se refiere al uso de sitios web WordPress comprometidos relacionados con la dirección IP "91.212.166[.]21" vinculada a Proton66 para redirigir a los usuarios de dispositivos Android a páginas de phishing que imitan los listados de aplicaciones de Google Play y engañan a los usuarios para que descarguen archivos APK maliciosos.
Las redirecciones se facilitan mediante JavaScript malicioso alojado en la dirección IP de Proton66. El análisis de los nombres de dominio falsos de Play Store indica que la campaña está diseñada para dirigirse a usuarios de habla francesa, española y griega.
"Los scripts de redirección están ofuscados y realizan varias comprobaciones contra la víctima, como excluir rastreadores y usuarios de VPN o proxy", explicaron los investigadores. "La IP del usuario se obtiene a través de una consulta a ipify.org, luego se verifica la presencia de una VPN en el proxy a través de una consulta posterior a ipinfo.io. Finalmente, la redirección sólo se produce si se encuentra un navegador Android".
En una de las direcciones IP de Proton66 también se aloja un archivo ZIP que conduce al despliegue del malware XWorm, específicamente dirigido a usuarios de salas de chat de habla coreana mediante esquemas de ingeniería social.
La primera etapa del ataque es un acceso directo de Windows (LNK) que ejecuta un comando PowerShell, que a su vez ejecuta un script de Visual Basic que, a su vez, descarga una DLL .NET codificada en Base64 desde la misma dirección IP. La DLL procede a descargar y cargar el binario XWorm.
La infraestructura vinculada a Proton66 también se ha utilizado para facilitar una campaña de phishing por correo electrónico dirigida a usuarios de habla alemana con StrelaStealer, un ladrón de información que se comunica con una dirección IP (193.143.1[.]205) para C2.
Por último, pero no menos importante, se han encontrado artefactos del ransomware WeaXor -una versión revisada de Mallox- contactando con un servidor C2 en la red Proton66 ("193.143.1[.]139").
Se aconseja a las organizaciones que bloqueen todos los rangos Classless Inter-Domain Routing (CIDR) asociados con Proton66 y Chang Way Technologies, un proveedor probablemente relacionado con sede en Hong Kong, para neutralizar posibles amenazas.
Fuente: thehackernews