MSRT March 2012: Breaking bad

[A. 876]

Мне лично сейчас интересно другое. А именно, куда пропал TDL и что сейчас с ботнетом, подает ли он признаки жизни.

Ему поплохело.

Кстати, сегодня поплохело еще кое-кому. Но об этом, по традиции, уже на следующей неделе, в понедельник

[A. 876]

Непонятно зачем Group-IB (при всех ее заслугах в этой операции) начали черезчур интенсивный PR (на фейсбуке) этой операции. Какие-то "операция, не имеющая аналогов в мировой истории", "раскрытие всей цепочки"...Какой цепочки? Какие аналоги?

Скорее всего какие-то парни решили подзаработать вот таким образом, нашли по объявлениям арендаторов соответствующие услуги (коих на просторах нашего рунета пруд пруди). Заполучили что-то вроде "билдера", адаптировали его под свои цели, ну а дальше уже обычная цепь кибермошенничества с теми же "мулами" и "обналичкой".

Те семплы Carberp, которые я наблюдал в течение двух последних месяцев были только даунлоадеры, что отличает его от схемы распространения тех же ZBot и SpyEye (дропперы).

Детальный отчет о ликвидации пока не представлен.

http://www.securelist.com/ru/blog/20776388...shche_ne_konets

[rkhunter 150]

http://www.securelist.com/ru/blog/20776388...shche_ne_konets

ч. т. д. как говорится.

А вообще, по-сути масштабы у Group-IB еще не те...

[rkhunter 150]

Наверное это и есть причина ухода автора SpyEye в подполье (из материалов, опубликованных по ZBot).

GROUP-IB поучится нужно

http://garwarner.blogspot.com/2012/03/micr...ha-vs-zeus.html

[A. 876]

Наверное это и есть причина ухода автора SpyEye в подполье (из материалов, опубликованных по ZBot).

там все сложно

[rkhunter 150]

там все сложно

Ну так поэтому в паблик и не идет.

[A. 876]

Ему поплохело.

Кстати, сегодня поплохело еще кое-кому. Но об этом, по традиции, уже на следующей неделе, в понедельник

Вместо понедельника вышло в среду

http://www.securelist.com/en/blog/20819343..._Kelihos_Botnet

http://blog.crowdstrike.com/2012/03/p2p-bo...0000-nodes.html

P.S. Да-да, совместно с тем самым КраудСтрайком

http://www.anti-malware.ru/forum/index.php?showtopic=21538

[rkhunter 150]

Неплохо. А можно боту команду послать, чтобы он самоудалился? Помнится кое-кто это использовал.

[A. 876]

Неплохо. А можно боту команду послать, чтобы он самоудалился? Помнится кое-кто это использовал.

Можно, но у нас нет на это права.

Это будет вмешательством в работу компьютерных систем разных стран и в случае любого факапа - мы сядем. Да и без факапа тоже сядем. Такие вещи может делать только полиция - причем условно говоря полиция Польши может дать такую команду только ботам в Польше, а полиция Уругвая - только уругвайским.

Еще микрософт может - через апдейт винды. Но это процесс не быстрый, да и я думаю что там многие просто не обновляются.

вот как раз мы пишем об этом

http://www.securelist.com/en/blog/20819343..._Kelihos_Botnet

Q: The bots of both botnets are now sinkholed to machines of your control. What now?

...

Apart from this, there is one other theoretical option to ultimately get rid of Hlux: We know how the bot's update process works. We could use this knowledge and issue our own update that removes the infections and terminates itself. However, this would be illegal in most countries.

[rkhunter 150]

Мда, точно.

[CatalystX 25]

Писали, что при закрытии ботнета ФБР получает в суде санкцию на доступ к админке, а уже эту санкцию юзают мелкомягкие для удаления вредоноса с компов.

да и я думаю что там многие просто не обновляются.

Многие боты отключают возможность обновления, а если не отключают, то запросы перенаправляют на свои серверы, откуда скачиваются актуальные версии бота и его компонентов.

[rkhunter 150]

Похоже Kelihos обновился и здравствует.

It's (Already) Baaack: Kelihos Botnet Rebounds With New Variant

http://www.darkreading.com/advanced-threat...ew-variant.html

Двумя постами ранее речь шла о "взятии в оборот" Kelihos.B http://www.anti-malware.ru/forum/index.php...st&p=153423.

Похоже сразу же появился Kelihos.C.

Less than one day after botnet hunters announced they had crippled the Kelihos.B/Hlux.B botnet, a new version of the tenacious botnet is now back up and running today.

Marco Preuss, head of global research and analysis in Germany for Kaspersky Lab, says the new botnet activity is coming from Hlux.C/Kelihos.C, and that the one that his firm and others took down remains offline. "We confirm that a new Hlux/Kelihos sample exists, but it has a different configuration, which means it's coming from a new Hlux botnet (Hlux C). The previous generation (Hlux B ) is under control by the sinkhole server. It is not uncommon for new versions of botnets to appear that are operated by the same group," Preuss says.

Microsoft детектирует как Backdoor:Win32/Kelihos.F и запись была создана буквально пару дней назад, так что это действительно какой-то новый вариант.

[rkhunter 150]

Не знаю читали или нет, тут недавно Гюнтер Олман написал очередной "эпичный" пост на damballa. Пост, "изобличающий технику синколинга" для борьбы с P2P ботнетами (на примере Kelihos.B ), а также "заглядывающий в будущее". По его словам, не стоит брать эту технику всерьез, вот так вот.

http://blog.damballa.com/?p=1571

Why go to all this effort? Why invest in Wac-a-mole style takedowns? While the efforts to takedown some Kelihos.A and Kelihos.B P2P botnets haven’t succeeded, they have enabled researcher to better understand the nature of the threat and hone their skills in the art of takedown. Knowing what doesn’t work (and why) is almost as valuable as knowing what does work.

I’m sure some group is going to try their hand at taking down Kelihos.C (and probably Kelihos.D) based botnets in the future. There’ll probably be the same claims of “Kelihos is dead” too. Unfortunately, if the Kelihos botnet controllers want to escape this bothersome cycle of losing a few thousand botnet victims each time, they already have the means available to them. As I discussed earlier this month, we’ve observed a growing number of criminal operators adding DGA’s to their malware families as a backup strategy should their P2P C&C fail for whatever reason. If the Kelihos operators add that feature to their next variant the wac-a-mole efforts of Kelihos-P2P-swatters truly become inconsequential.

[A. 876]

Не знаю читали или нет, тут недавно Гюнтер Олман написал очередной "эпичный" пост на damballa. Пост, "изобличающий технику синколинга" для борьбы с P2P ботнетами (на примере Kelihos.B ), а также "заглядывающий в будущее". По его словам, не стоит брать эту технику всерьез, вот так вот.

http://blog.damballa.com/?p=1571

синкхолили, синкхолим и будем синкхолить. все остальное - к правоохранительным органам )

[rkhunter 150]

SpyEye подает признаки "жизни" http://blogs.mcafee.com/mcafee-labs/latest...ive-and-cheaper.