Изследователи по киберсигурност предупреждават, че руският автономен хостинг оператор Proton66 е свързан с така наречени „bulletproof“ услуги, които поддържат множество злонамерени кампании по целия свят.

Proton66 (ASN: AS198953) представлява анонимна автономна система, свързана с по-широка инфраструктура, управлявана от руски гражданин, който предлага устойчив на разследвания хостинг на киберпрестъпници.

Вълна от атаки от началото на 2025 г.

От януари 2025 г. анализаторите на Trustwave SpiderLabs наблюдават рязко увеличение на злонамерени атаки, идващи от тази автономна система. Атаките включват:

• масово сканиране на уязвимости

• атаки чрез изпробване на пароли (brute force)

• експлоатация на известни уязвимости

Основни цели са технологични и финансови организации по целия свят, както и организации с нестопанска цел и инженерни структури.

Един от IP адресите, свързан с Proton66, е използван в атаки, които са довели до заразяване със SuperBlack рансъмуер – нова форма на изнудващ зловреден софтуер.

Експлоатирани уязвимости

Злоупотребите включват експлоатация на известни уязвимости в устройства и системи:

• D-Link NAS (CVE-2024-10914)

• Fortinet FortiOS (CVE-2024-55591 и CVE-2025-24472)

• Mitel MiCollab (CVE-2024-41713)

• Palo Alto Networks PAN-OS (CVE-2025-0108)

Фалшиви страници в Google Play и злонамерени скриптове

Proton66 е свързан и с кампании, насочени към потребители на Android чрез фалшиви страници, имитиращи Google Play, достъпни на английски, френски, гръцки и испански. Злонамерените скриптове са били вмъкнати в компрометирани WordPress сайтове и хоствани на IP адреси, свързани с Proton66.

Впоследствие, част от домейните, обслужващи тези скриптове, са били преместени към инфраструктура на Chang Way Technologies – възможен опит за прикриване на произхода.

Зловреден софтуер XWorm и Strela Stealer

През март 2025 г., услуги, хоствани в мрежата на Proton66, са разпространявали зловреден код от веригата за заразяване със XWorm – троянец, използван в социално инженерство, насочен към корейскоговорящи потребители чрез чат групи за инвестиции.

Също така, Proton66 е бил използван за разпространение на Strela Stealer – малуер, насочен към потребители на имейл клиенти Thunderbird и Outlook в Австрия, Германия, Лихтенщайн, Люксембург и Швейцария.

Командни сървъри за рансъмуер

SpiderLabs съобщава, че в мрежата на Proton66 се намират множество командни сървъри (C&C), включително такива, свързани с WeaXor – вариант на известния Mallox рансъмуер.