L'administrateur du Botnet Proxy RSOCKS plaide coupable

Denis Eméliantsev, un Russe de 36 ans accusé d'avoir dirigé un énorme botnet appelé CHAUSSETTES qui a intégré des logiciels malveillants dans des millions d'appareils dans le monde entier, a plaidé coupable à deux chefs d'accusation de violations de la criminalité informatique dans une salle d'audience californienne cette semaine. Le plaidoyer intervient quelques mois seulement après l'extradition d'Emelyantsev de Bulgarie, où il a déclaré aux enquêteurs “ " L'Amérique me cherche parce que j'ai d'énormes informations et ils en ont besoin.”

Une copie du passeport de Denis Emelyantsev, alias Denis Kloster, tel que publié sur sa page Vkontakte en 2019.

Annoncé pour la première fois dans le cybercrime underground en 2014, RSOCKS était le vitrine basée sur le Web pour les ordinateurs piratés qui ont été vendus comme “proxies” aux cybercriminels à la recherche de moyens d'acheminer leur trafic Web via l'appareil de quelqu'un d'autre.

Les clients pouvaient payer pour louer l'accès à un pool de procurations pour une période spécifiée, avec des coûts allant de 30 USD par jour pour l'accès à 2 000 procurations à 200 USD par jour pour un maximum de 90 000 procurations.

De nombreux systèmes infectés étaient Appareils de l'Internet des objets (IoT) , y compris les systèmes de contrôle industriels, les horloges, les routeurs, les appareils de streaming audio/vidéo et les ouvre-portes de garage intelligents. Plus tard dans son existence, le botnet RSOCKS s'est étendu pour compromettre les appareils Android et les ordinateurs conventionnels.

En juin 2022, les autorités des États-Unis, d'Allemagne, des Pays-Bas et du Royaume-Uni a annoncé une opération conjointe pour démanteler le botnet RSOCKS. Mais cette action n'a nommé aucun défendeur.

Inspiré par ce retrait, KrebsOnSecurity indices suivis de l'identité du maître du botnet RSOCKS sur les forums de cybercriminalité à Le blog personnel d'Emelyantsev, où il est allé par le nom Denis Kloster. Le blog présentait des réflexions sur les défis de la gestion d'une entreprise qui vend “des services de sécurité et d'anonymat à des clients du monde entier”, et incluait même une photo de groupe des employés de RSOCKS.

“Grâce à vous, nous évoluons désormais dans le domaine de la sécurité de l'information et de l'anonymat!, "Le blog de Kloster s'est enthousiasmé. "Nous fabriquons des produits qui sont utilisés par des milliers de personnes à travers le monde, et c'est très cool! Et ce n'est que le début!!! Nous ne travaillons pas seulement ensemble et nous ne sommes pas seulement des amis, nous sommes une famille.”

Mais au moment où cette enquête a été publiée, Emelyantsev avait déjà été capturé par les autorités bulgares répondant à un mandat d'arrêt américain. Lors de son audience d'extradition, Emelyantsev a affirmé qu'il prouverait son innocence devant un tribunal américain.

“J'ai engagé un avocat là-bas et je veux que vous m'envoyiez le plus rapidement possible pour effacer ces accusations sans fondement", Emelyantsev dire le tribunal bulgare. “Je ne suis pas un criminel et je vais le prouver devant un tribunal américain.”

RSOCKS, vers 2016. À cette époque, RSOCKS faisait de la publicité pour plus de 80 000 procurations. Image: archive.org.

Emelyantsev était bien plus qu'un simple administrateur d'un grand botnet. Derrière la façade de sa société de publicité sur Internet basée à Omsk, en Russie, le botmaster RSOCKS était un acteur majeur dans l'industrie russe du spam par courrier électronique depuis plus d'une décennie.

Certains des meilleurs forums russes sur la cybercriminalité ont été piratés au fil des ans, et des messages privés divulgués à partir de ces forums montrent que l'administrateur de RSOCKS a revendiqué la propriété du RUSdot forum de spam. RUSdot est le forum successeur de Point Spam, une communauté beaucoup plus secrète et restreinte où la plupart des meilleurs spammeurs, auteurs de virus et cybercriminels du monde ont collaboré pendant des années avant le forum implosé en 2010.

Une version traduite par Google du forum de spam Rusdot.

En effet, les toutes premières mentions de RSOCKS sur tous les forums de cybercriminalité en langue russe désignent le service par son nom complet sous le nom de “Serveur de Chaussettes RUSdot.”

Le spam par e — mail, et en particulier les e — mails malveillants envoyés via des ordinateurs compromis, reste l'une des principales sources d'infections par des logiciels malveillants qui entraînent des violations de données et des attaques par ransomware. Il va donc de soi qu'en tant qu'administrateur du forum le plus connu de Russie pour les spammeurs, Emelyantsev en sait probablement un peu plus sur les autres principaux acteurs de la communauté des spams et des logiciels malveillants des botnets.

On ne sait toujours pas si Emelyantsev a tenu sa promesse de divulguer cette connaissance aux enquêteurs américains dans le cadre de son accord de plaidoyer. L'affaire est poursuivie par le Bureau du procureur des États-Unis pour le district sud de la Californie, qui n'a pas répondu à une demande de commentaire.

Emelyantsev a plaidé coupable lundi à deux chefs d'accusation, notamment des dommages causés à des ordinateurs protégés et un complot en vue d'endommager des ordinateurs protégés. Il risque un maximum de 20 ans de prison et devrait actuellement être condamné le 27 avril 2023.