xDedic事件背后大有文章

蓝天二号

上周我们曝光的xDedic——这一销售全球被感染服务器登陆凭证的虚拟黑市又有了最新消息。根据目前掌握的情况，我们之前似乎低估了通过xDedic销售和购买的服务器数量。xDedic幕后的网络罪犯感染的服务器IP数量可能还有更多。



正如我们之前的报道，xDedic黑市上销售了全球超过70,000台被感染服务器的登陆凭证。但是现在，Securelist又获得了更大范围的数据集，其中包括约176,000台之前可能被放到xDedic进行销售的受感染服务器。请点击此处查看CSV文件中的服务器列表和IP地址，我们按照国家代码（基于GeoIP）对服务器进行了分类。



上述提到的数据集包括之前我们不知道的被感染服务器，这一数据集由一名IP地址为立陶宛的匿名用户在Securelist的评论区提供。该匿名用户的留言中包含多个指向Pastebin的连接，链接内容为受感染服务器IP地址以及日期信息。根据统计，其中共包含176,000条从2014年10月到2016年2月的记录。

对这些数据进行验证具有挑战性，但是很明显，Pastebin中的数据集同xDedic黑市的运营时间线吻合。这些列表中包含很多RDP服务器的IP地址，包括那些已知被感染的服务器。同一时间范围内曾经出现在xDedic市场上的被感染服务器子网也全部包括在这一数据集中。

简而言之，这些数据的真实性无法被证实。所以，对于这些数据，我们应当采取怀疑的态度。但是，卡巴斯基实验室的专家认为有理由相信这些数据中至少有一部分是真实的。所以，我们强烈建议广大用户检查一下这些列表，不管您的服务器是否出现在列表中。

这些dump数据还导致了另一个防线，即受感染服务器的市场价值。在之前的文章中，我们曾经提到有些服务器的登陆凭证仅售6-8美元。但是，根据最新获得的数据，有些服务器的登陆凭证售价高达6,000美元，而且很可能这些服务器第一时间就会被售出。

在我们发布有关xDedic的公告后，xDedic的网站很快被下线，这多亏了几家主要ISP之间的合作。但是，这并不表明这一事件已经结束。还有很多问题没有得到解答。目前，我们仍不清除这些数据来自哪里。另外一点不明确的是这些IP地址中，究竟还有多少服务器被感染。