Amsterdam, 25 januari 2024 — Nieuw onderzoek van security-expert
Infoblox heeft een wereldwijd crimineel affiliatenetwerk blootgelegd. Het wordt beheerd door VexTrio, een tot voor kort onbekende cybercrimegroep. Al jarenlang verhandelt VexTrio internetverkeer tussen verschillende andere hackersgroepen, die daarmee hun eigen malwarecampagnes kunnen uitvoeren. VexTrio is zeer lastig op te sporen, maar het blokkeren van VexTrio leidt direct tot de verstoring van een breed spectrum aan online criminele activiteit.
Het
onderzoek van Infoblox geeft een inkijk in de moderne cybercrime-economie en laat zien hoe gevaarlijk ‘traffic distribution systems’ (TDS) zijn, een technologie die centraal staat in het affiliatenetwerk van VexTrio. Infoblox roept dan ook op tot meer samenwerking binnen de securitybranche om malafide TDS’en te detecteren, identificeren en bestrijden.
Hoe werkt het VexTrio affiliateprogramma?
VexTrio gaat op een soortgelijke manier te werk als legitieme marketing affiliatenetwerken, waarbij een commerciële tussenpartij adverteerders matcht met websites om op te adverteren. VexTrio krijgt internetverkeer doorgespeeld van affiliatepartners die websites hebben gehackt. Dit verkeer wordt via de TDS-servers van VexTrio doorgesluisd richting webpagina’s van andere criminele groepen, met bijvoorbeeld nepformulieren voor phishing-campagnes. VexTrio treedt daarbij niet alleen op als infrastructuurbeheerder, maar voert ook zelf campagnes uit.
De belangrijkste bevindingen van Infoblox over VexTrio:
- VexTrio werkt samen met bekende hackersgroepen zoals ClearFake en SocGholish.
- Met meer dan 60 affiliate-partners is VexTrio de grootste bekende malafide traffic broker.
- VexTrio hanteert een unieke werkwijze, waarbij iedere affiliate een klein aantal toegewijde servers krijgt toegewezen.
- VexTrio heeft langdurige samenwerkingen. Zo is SocGholish al ten minste sinds april 2022 een VexTrio-affiliate.
- De aanvalsketens van VexTrio kunnen meerdere actoren bevatten. Infoblox heeft tot wel vier actoren waargenomen in een enkele aanvalsketen.
- VexTrio en zijn affiliates maken misbruik van referralprogramma’s van McAfee en Benaughty.
- VexTrio beheert meerdere TDS-netwerken, die op verschillende manieren functioneren. Zo is eind december 2023 een DNS-gebaseerde TDS ontdekt.
- De domeingeneratie-tactieken van VexTrio blijven evolueren. Een statische lijst van woorden of top-level domains (TLD's) op basis van domeingeschiedenis biedt daarom onvoldoende bescherming.
- Er zijn inmiddels ruim 70.000 VexTrio-domeinnamen geïdentificeerd.
- VexTrio is overgestapt van dedicated hosting en nameservers naar shared providers. Sinds Infoblox in 2022 voor het eerst over VexTrio berichtte, is meer dan 55% van de VexTrio-domeinen overgeheveld.
Lees hier de volledige onderzoeksresultaten.
The VexTrio criminal ecosystem
Over Infoblox
Infoblox combineert ongeëvenaarde netwerkprestaties en -security in een altijd veranderende wereld. Infoblox gebruikt intelligente DNS- en gebruikerscontext om dreigingen te stoppen die andere oplossingen over het hoofd zien. Daarvoor bieden we realtime inzicht en controle over wie en wat met je netwerk verbindt, zodat je veiligere en weerbaardere omgevingen kunt opzetten. We ondersteunen ruim 13.000 klanten – waaronder 92 van de Fortune 100-bedrijven én innovatieve nieuwkomers – om hun intelligente en diverse teams te versterken en te ondersteunen met intelligente networking- en security-oplossingen voor onze steeds decentralere wereld. Ga naar infoblox.com voor meer informatie of volg ons op LinkedIn en X.