#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Устройства PEER2PROFIT могут быть интегрированы в сеть домашних прокси-серверов ASTROPROXY, что позволяет клиентам направлять трафик через легитимные IP-адреса домашних, мобильных и корпоративных сетей. Данная инфраструктура может использоваться для проведения атак на учётные данные, мошеннических действий, сканирования и обхода ограничений частоты запросов, а уязвимости в фильтрации на основе доменных имён могут обеспечивать доступ к службам в частных сетях.
-----

В ходе исследования была выявлена операционная связь между PEER2PROFIT, приложением для совместного использования пропускной способности, и ASTROPROXY, коммерческим сервисом резидентных прокси. Контрольные тесты показали, что после регистрации чистого резидентного устройства в PEER2PROFIT его публичный IP-адрес появлялся в пуле прокси ASTROPROXY примерно через 10 минут. Это позволяет клиентам прокси-сервиса маршрутизировать трафик через легитимные резидентные, мобильные или корпоративные адреса, назначенные провайдерами интернет-услуг, что потенциально позволяет обходить системы репутации IP-адресов и осуществлять Подстановку украденных учетных данных, перехват управления учетными записями, мошенничество, рассылку спама, сканирование и обход ограничений частоты запросов.

PEER2PROFIT позиционируется как сервис пассивного дохода, а не как ВПО. Пользователи устанавливают программное обеспечение и получают вознаграждение за предоставление своего пропускной способности и IP-адреса для использования в проксированном трафике. Функции регистрации и управления, по имеющимся данным, реализованы через Телеграм, включая регистрацию устройства, мониторинг потребления и вывод криптовалюты. Проанализированный Windows SDK использует архитектуру backconnect-прокси: клиент регистрируется на `api.peer2profit.global`, получает информацию о координации прокси и ожидает запросы от прокси-инфраструктуры. Когда клиент отправляет HTTP CONNECT-запрос, зарегистрированное устройство устанавливает соединение с указанным адресом назначения и ретранслирует трафик. Запросы обрабатываются независимо и привязываются к backconnect-сокетам с помощью заголовка `StartLet-Context`.

Исследователи выявили связанную инфраструктуру, размещенную через провайдеров и автономные системы, включая Datacheap в России, Leaseweb в США, PSKZ в Казахстане и OVH во Франции. Перечисление инфраструктуры ASTROPROXY в течение 72 часов выявило 117 224 уникальных адреса, из которых 60 247 — резидентные, 38 762 — дата-центровые и 18 215 — мобильные узлы. На Россию и Вьетнам пришлось более 40 % зафиксированных адресов.

Наиболее значительным риском является потенциальный доступ к внутренним сетям. Хотя, по имеющимся данным, ASTROPROXY блокировал прямые запросы к частным IP-адресам, тестирование показало, что этот контроль можно обойти с помощью доменного имени, резолвящегося в частный адрес. Таким образом, узел прокси, работающий в офисной сети или на устройстве удаленного сотрудника, подключенного через корпоративный VPN, может обеспечить доступ к маршрутизаторам, системам NAS, умным устройствам и другим внутренним сервисам, доступным изнутри. Организациям следует выявлять и ограничивать приложения для совместного использования полосы пропускания, отслеживать постоянные соединения с инфраструктурой координации прокси, пересматривать настройки split-tunneling VPN и использовать актуальные данные об узлах прокси, а не полагаться исключительно на историческую репутацию IP-адресов.