Обнаружен ботнет Skynet с управлением через анонимную сеть TOR

Обнаружен ботнет Skynet с управлением через анонимную сеть TOR

Специалисты по сетевой безопасности из компании Rapid7 обнаружили, возможно, один из первых ботнетов, в котором связь зараженных машин с управляющим сервером выполнялась с помощью технологии TOR, обеспечивающей анонимный доступ к Интернету.

Первооткрыватели ботнета, получившего название Skynet, как искусственный интеллект в фильмах про Терминатора, предупредили, что в ближайшее время эту практику могут взять на вооружение и другие ботнеты, что сильно затруднит обнаружение и нейтрализацию их управляющих серверов.

Технология TOR, о которой мы не раз писали, была создана военными специалистами США в расчете на то, что с ее помощью подвергаемые гонениям активисты в странах с тоталитарными режимами смогут беспрепятственно общаться со своими единомышленниками и соратниками по подрывной работе против государства. Многоуровневая анонимизация в сети TOR почти исключает возможность перехвата и прослушки сообщений. Кроме того, через сеть TOR-ретрансляторов в странах с фильтрацией Интернета можно получать доступ к любым закрытым ресурсам за счет использования «выходных TOR-узлов» в странах с менее жестким режимом доступа. По прошествии времени выяснилось, что технология TOR открыла настоящий ящик Пандоры не только для правозащитников, но и для настоящих киберпреступников, сообщает soft.mail.ru.

Обнаруженный ботнет Skynet, по данным исследователей, представляет собой настоящий многофункциональный комбайн. В частности, Skynet поддерживает организацию распределенных атак на отказ в обслуживании (DDoS), генерацию виртуальной валюты Bitcoin с использованием вычислительных ресурсов графического процессора на зараженных машинах, исполнение произвольного кода по команде оператора, а также похищение реквизитов для доступа к веб-сайтам и банковским счетам пострадавших. Главное же отличие Skynet заключается в том, что доступ к его серверам управления возможен только через сеть TOR по протоколу Tor Hidden Service.

Традиционно протокол Tor Hidden Service используется для анонимного доступа к обычным веб-сайтам, а также к чат-серверам IRC и некоторым другим сервисам, включая удаленное управление по протоколу SSH (Secure Shell). Адрес такого сервиса выглядит как случайная последовательность символов с расширением .onion в качестве псевдо-домена верхнего уровня. По мнению представителей компании Rapid7, на данный момент не существует способов отследить и нейтрализовать управляющие серверы ботнета, скрытые с помощью протокола TOR Hidden Service.

По оценкам компании Rapid7 сейчас ботнет Skynet охватывает около 12-15 тысяч зараженных компьютеров. За семь месяцев, прошедших после обнаружения первых признаков этого ботнета, число пораженных машин увеличилось почти на 50 %. В состав ботнет-клиента, который устанавливается на машину жертвы, входит специальный бот с управлением через IRC-чат (этот бот умеет запускать несколько типов DDoS-атак и других действий), собственный TOR-клиент для Windows, модуль для «добычи» Bitcoin-валюты (путем сложных расчетов на графическом процессоре), а также специальная версия известного троянца Zeus с возможностью внедрения в браузер и кражи пользовательских данных для доступа к веб-сайтам и банковским счетам. Несмотря на то, что сеть TOR имеет ряд недостатков, включая большие задержки и невысокую пропускную способность, для передачи команд узлам ботнета этого вполне достаточно, как при запуске DDoS-атаки.

Еще один примечательный факт – каждый зараженный компьютер в ботнете Skynet сам становится TOR-ретранслятором, что делает сеть TOR еще более крупной и устойчивой к нагрузкам, а вместе с ней более устойчивым становится и работающий через нее ботнет.

По мнению специалистов из антивирусных компаний Bitdefender и «Лаборатория Касперского», ботнеты с управлением через TOR не являются такими уж неуязвимыми. Есть средства для борьбы с таким угрозами и на уровне интернет-провайдеров в виде блокирования трафика от всех известных выходных TOR-узлов. С другой стороны, это в итоге может разрушить сам исходный замысел системы TOR, где выходные узлы, теоретически, должны поддерживаться добровольцами в «свободных странах», чтобы оказывать услуги анонимности своим менее удачливыми коллегам, ищущим защиты от преследований.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

Solar CyberMir 7.4: единая оценка навыков и новая архитектура платформы

Группа компаний «Солар» представила новую версию своей платформы для киберучений — Solar CyberMir 7.4. Главное изменение — возможность формировать долгосрочные треки развития участников и видеть реальный рост их квалификации от одного соревнования к другому. Параллельно обновлена архитектура платформы: теперь организации получают больше самостоятельности в управлении инфраструктурой киберполигона.

Причина фокуса на развитии специалистов вполне объяснима. По данным исследования «Солара» и KASATKIN CONSULTING, около 30% позиций в ИБ-подразделениях крупных компаний остаются незакрытыми.

Киберучения тоже показывают: большинство участников на старте владеют навыками лишь на 20–30% от нужного уровня, а после серии практических активностей выходят на 60% и выше. «Солар» рассчитывает, что расширение доступных форматов — в том числе онлайн — поможет снизить кадровый разрыв.

Одно из ключевых нововведений — единая система оценки навыков. Теперь все активности на платформе — CTF, квесты, командные учения — оцениваются по общей матрице компетенций Solar Method. Это позволяет собрать цельный профиль специалиста вместо набора разрозненных результатов.

Руководители смогут отслеживать динамику роста навыков, сравнивать «розу ветров» компетенций сотрудников и понимать, какие области требуют развития. В «Соларе» отмечают, что подход меняет саму модель киберполигона: теперь это не только тренажёр, но и инструмент управления кадровым потенциалом команд SOC.

Платформа поддерживает более 30 форматов практики — от форензики и восстановления инфраструктуры до командных учений и различных форматов CTF. В основе — игровой движок Solar Quest, который добавляет в сценарии логику приключенческих игр. Это помогает точнее оценить, где специалист действует уверенно, а где теряет важные возможности реагирования.

Серьёзные изменения коснулись и инфраструктурной части. В CyberMir 7.4 реализована возможность запускать плейбуки прямо на существующих слотах инфраструктур. Клиенты могут самостоятельно менять тренировочную среду — добавлять компоненты, корректировать конфигурации — без обращения к вендору. Это ускоряет подготовку учений и облегчает адаптацию под отраслевую специфику или актуальные техники атак.

Технологическое ядро платформы также усилили: новая агентская архитектура управления виртуальной средой ускоряет подготовку к соревнованиям и повышает стабильность работы. Это критично для крупных компаний и вузов, где платформа используется в составе ПАК или on-premise.

Масштабируемость CyberMir 7.4 позволяет проводить как большие CTF-турниры до тысячи участников, так и командные противостояния Red vs Blue для сотен специалистов. В итоге новая версия делает платформу более гибким инструментом — и для подготовки начинающих специалистов, и для углублённой тренировки опытных команд SOC, что особенно важно в условиях растущего кадрового дефицита и увеличивающегося числа киберугроз.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

RSS: Новости на портале Anti-Malware.ru