В очередной версии TDL4 используется механизм генерации доменных имен (DGA)

На днях компания Damballa Inc. опубликовала отчет об исследовании очередной разработки вирусописателей – новой версии вредоносной программы TDSS/TDL4. Ее уникальность заключается в том, что связь между контрольно-командным сервером (C&C) и зараженным компьютером осуществляется посредством метода случайной генерации доменных имен (DGA), а для распространения угрозы злоумышленники используют так называемые click-fraud-атаки.

Как известно, сам руткит TDSS/TDL4 нацелен на загрузочную область жесткого диска, что и так делает его довольно сложным для обнаружения, однако, по мнению исследователей Damballa, применение такой технологии общения между трояном и C&C делает угрозу практически неуязвимой перед сигнатурным и поведенческим анализом или «черными списками».

Эксперт Anti-Malware.ru Валерий Ледовской считает, что поскольку для распространения рассматриваемой модификации TDL4 используется метод DGA, в результате действия которого появляется огоромное количество вредоносных доменов, то обычные способы блокировки вредоносных сайтов не принесут успеха - новые домены появляются на порядок быстрее. «Собственно, используемый в данном исследовании алгоритм Pleiades (Плеяды)», - поясняет эксперт,- «это применение кластерного анализа для выделения подобных вредоносных доменов в кластеры по косвенным признакам, присущим трафику, идущему через подобные сайты. Он позволяет оперативно относить новые домены к уже известным реализациям DGA-алгоритмов, так и автоматически создавать новые кластеры, соответствующие неизвестным реализациям».

При этом Василий Бердников, эксперт Anti-Malware.ru считает, что, наоборот, ничего нового не появилось. Вместо этого довольно давно в сети распространяются последователи TDL4 - SST/PRAGMA и большей частью Pihar.

Тем не менее, согласно отчету, угроза под названием NorthSpiderAngels, была обнаружена в июле 2012 года экспертами Damballa Inc., посредством инструмента собственной разработки, который позволяет регистрировать активность в DGA сети. В ходе работы исследователям удалось обнаружить подозительную активность в сети своего интернет-провайдера. Впоследствии выяснилось, что в результате деятельности DGA в сети было создано некоторое количество доменых имен - NXDomains, которые выполняли роль C&C-хоста, для обнаруженых на компьютерах жертв доменов.

В ходе дальнейшего исследования, с помощью собственной базы DNS, ученым удалось идентифицировать около 418 уникальных доменных имен, отправляющих запросы на C&C. Кроме того эксперты отмечают, что несколько из обнаруженных IP выполняли роль хостов TDSS и TDL4, а также Российской Бизнес-Сетью (Russian Business Network, RBN).

В результате эксперты выявили, что данная угроза уже успела проникнуть посредством click-fraud-атаки на 250 000 компьютеров; среди них оказались машины, установленные в крупнейших компаниях, включенных в список Fortune 500, нескольких правительственных агентствах и у интернет-провайдеров. Кроме этого было идентифицировано 86 C&C-серверов, 26 из которых расположены в России, 15 в Румынии и 12 в Нидерландах. Эксперты также отметили, что наиболее уязвимыми для проведения таких кампаний являются facebook.com; doubleclick.net; youtube.com; yahoo.com; msn.com; google.com.

«В целом, можно сказать, что алгоритм достаточно полезный и мог бы помочь антивирусной индустрии получить ещё один мощный инструмент в борьбе между авторами антивирусов и вирусописателями», - считает г-н Ледовской.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Browser-in-the-browser: мошенники угоняют учетки геймеров в Steam

Group-IB обнаружила 150 мошеннических ресурсов, замаскированных под популярную платформу компьютерных игр — Steam. Учетные записи геймеров угоняют незаметной фишинговой техникой “Browser-in-the-browser“.

Сейчас на Steam зарегистрировано 120 миллионов геймеров, а число продаваемых на этой платформе игр превышает 50 тыс. единиц. Речь о бестселлерах: Half-Life, Counter-Strike и Dota 2. Цена аккаунта начинающего игрока составляет десятки долларов, аккаунты ведущих пользователей оцениваются в $100 000 — $300 000.

С момента запуска платформы в 2003 году киберпреступники с переменным успехом пытались завладеть “прокаченными” аккаунтами геймеров, но без особого результата.

Теперь жертв заманивают на страницу-приманку чатовыми предложениями присоединиться к киберспортивному турниру по League of Legends, Counter-Strike, Dota 2, PUBG. На сайте можно проголосовать за команду, купить билеты, получить внутриигровой предмет или скин. Еще один способ — реклама в популярном видео с игрой (запись стрима, геймплей) или в описании к нему.

Применяя технику Browser-in-the-browser, злоумышленники пользуются тем, что на платформе Steam аутентификация происходит во всплывающем окне, а не в новой вкладке, говорят эксперты Group-IB.

В отличие от большинства мошеннических ресурсов, которые открывают фишинговую страницу в новой вкладке или делают переход, новая техника открывает поддельное окно браузера в прежней вкладке.

Практически каждая кнопка на мошенническом ресурсе выводит форму ввода данных учетной записи, повторяющую оригинальное окно Steam. Во всплывающем окне есть фальшивый “зеленый замочек” — иконка SSL-сертификата организации.

Ссылка в адресной строке поддельного окна не отличается от оригинальной — её можно выделить, скопировать, открыть в другой вкладке. Кнопки работают корректно, окно можно двигать по экрану. Кроме того, на обнаруженных в июле фишинговых ресурсах можно выбрать один из 27 языков.

Геймер вводит данные в фишинговой форме, они сразу отправляются злоумышленнику и автоматически вводятся на официальном ресурсе. Если ввести данные некорректно (один из способов проверки подлинности ресурса из игровых пабликов), то новая фишинговая форма сообщит об ошибке, как “настоящий” Steam. Если у жертвы включена двухфакторная аутентификация, то мошеннический ресурс покажет запрос кода в дополнительном окне.

“Похоже, прежние советы, которые несколько лет назад помогали геймерам определить фишинговый сайт, сегодня уже бесполезны против нового метода мошенников, — отмечает Александр Калинин, руководитель Центра реагирования на инциденты информационной безопасности Group-IB. — Фишинговые ресурсы, использующие технологию Browser-in-the-browser, представляют опасность даже для опытных пользователей Steam, соблюдающих основные правила кибербезопасности”.

В отличие от распространенных мошеннических схем, в которых наборы готовых инструментов для фишинговых страниц разрабатываются для продажи, решения Browser-in-the-browser для Steam держатся злоумышленниками в секрете.

“Мы обращаем внимание игрового комьюнити на новую схему мошенничества и призываем соблюдать рекомендации и быть внимательными при вводе своих данных, — предупредили в Group-IB.

Как отличить фишинговую форму Browser-in-the-browser:

  • Сверить дизайн заголовка и адресной строки открывшегося окна. Подделка может отличаться от стандартной для вашего браузера. Стоит обратить внимание на шрифты и вид кнопок управления.
  • Проверить, открылось ли новое окно в панели задач. Если нет — окно поддельное.
  • Попытаться увеличить/уменьшить окно — поддельное не предоставляет такой возможности. Также не получится его развернуть на весь экран.
  • Окно ограничено экраном браузера — его не получится передвинуть на элементы управления изначальной вкладки.
  • Кнопка сворачивания поддельного окна просто закрывает его.
  • В фишинговой форме “замочек”, отображающий сертификат, — обычное изображение. При нажатии на него не произойдет ничего, тогда как настоящий предложит посмотреть информацию о SSL-сертификате.
  • Поддельная адресная строка не функциональна. В некоторых случаях она не позволяет ввести другой URL, но даже если позволит — перейти на него в этом же окне будет невозможно.
  • Окно перестанет появляться при отключении исполнения JS-скриптов в настройках браузера.
Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru