rkhunter

Microsoft наконец-то взялись за ZBot

В этой теме 11 сообщений

TechNet blog

We have discussed in the past our collaboration with external parties to combat botnet threats to further the betterment of the Internet, such as Operations b49, b107 and b79. This week, Microsoft has partnered with security experts and the financial services industry on a new action codenamed Operation b71 to disrupt some of the worst known botnets using variants of the notorious Zeus malware (which we detect as Win32/Zbot).

http://blogs.technet.com/b/mmpc/archive/20...us-botnets.aspx

Cybercriminals have built hundreds of botnets using variants of Zeus malware. For this action – codenamed Operation b71 – we focused on botnets using Zeus, SpyEye and Ice-IX variants of the Zeus family of malware, known to cause the most public harm and which experts believe are responsible for nearly half a billion dollars in damages. Due to the unique complexity of these particular targets, unlike our prior botnet takedown operations, the goal here was not the permanent shutdown of all impacted targets. Rather, our goal was a strategic disruption of operations to mitigate the threat in order to cause long-term damage to the cybercriminal organization that relies on these botnets for illicit gain.
Zeus is especially dangerous because it is sold in the criminal underground as a crimeware kit, which allows criminals to set up new command and control servers and create their own individual Zeus botnets. These crimeware kits sell for anywhere between $700 to $15,000, depending on the version and features of the kit. Overall, Microsoft has detected more than 13 million suspected infections of this malware worldwide, with more than 3 million in the United States alone.

http://blogs.technet.com/b/microsoft_blog/...us-botnets.aspx

Последние три месяца вбрасывания огромнейшего количества ZBot (во всех его вариациях) не могли остаться не замеченными. Такого наводнения одной малварью, по-моему, не было даже в случае с ransomware или FakeAV. Вбросы были в т .ч и с BH EK с FUD пакерами для увеличения пробива. Также впечатляет сумма оцененного ущерба - около 500 млн $.

Странно что в статистике на securelist ZBot не фигурирует.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Странно что в статистике на securelist ZBot не фигурирует.

Подкрутят :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Странно что в статистике на securelist ZBot не фигурирует.

Скорее всего детект проходит под каким-нить "эвристическим" именем или .агентом :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Вообще я всегда ориентировался на точные детекты ZBot, которые последние несколько месяцев имели вид одной из трех записей: PWS:Win32/Zbot, PWS:Win32/Zbot.gen!AF, PWS:Win32/Zbot.gen!Y.

Kaspersky видит ZBot как: HEUR:Trojan.Win32.Generic, Trojan-Dropper.Win32.Injector.xxxx, Trojan-Spy.Win32.Zbot.xxxx.

Такие дела :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Вот собсно и тот редкий случай, когда "добрались" и до авторов.

... John Doe 1 is the

creator of the “Zeus” botnet code that, along with the “Ice-IX” and “SpyEye” botnet codes,

comprise the Zeus Botnets. John Doe 1 goes by the aliases “Slavik,” “Monstr,” “IOO” and/or

“Nu11” and may be contacted at messaging address ...

... John Doe 2 is the

creator of the “Ice-IX” botnet code that, along with the “Zeus” and “SpyEye” botnet codes,

comprise the Zeus Botnets. John Doe 2 goes by the aliases “zebra7753,” “lexa_mef,” “gss,” and

“iceIX” and may be contacted at Jabber messaging address ...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Kaspersky видит ZBot как: HEUR:Trojan.Win32.Generic.

Это детект зевса тех чуваков, у которых не хватило денег на криптор и они решили соорудить свою защиту с блэкджеком и шлюхами.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Это детект зевса тех чуваков, у которых не хватило денег на криптор и они решили соорудить свою защиту с блэкджеком и шлюхами.

Верно. Для тех же у кого денег хватило - у нас есть другие методы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Для тех. у кого денег хватило, есть некто, кто может криптовать их файло с периодичностью 2 раза в сутки за символическое вознаграждение в 2000$-3000$ в неделю:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Верно. Для тех же у кого денег хватило - у нас есть другие методы.

Метод прикольный, правда много людей далеких от аверных технологий, да и вообще от ИБ совершено не смущает текст в алертах и они жмут на первую кнопку лишь бы алерт исчез, а потом ноют что у них деньги со счета сперли.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Для тех. у кого денег хватило, есть некто, кто может криптовать их файло с периодичностью 2 раза в сутки за символическое вознаграждение в 2000$-3000$ в неделю:)

Так "они" и криптовали, но очень мало.

Но Kaspersky не может дать статистику по ZBot.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Тем временем выяснилось, что у Microsoft DCU не все так гладко.

История, которую опубликовали Fox-IT http://blog.fox-it.com/2012/04/12/critical...-operation-b71/ получила широкий резонанс.

Отвечать пришлось г-ну Richard Boscovich, который значится как юрист DCU - "senior attorney for Microsoft's Digital Crimes Unit" http://krebsonsecurity.com/2012/04/microso...botnet-bruhaha/.

Немного по сути претензий: http://artemonsecurity.blogspot.com/2012/0...osoft-zbot.html

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • PR55.RP55
      Факт. 1) Когда вышла крайняя версия утилиты: Tdsskiller ? Ответ: Апрель 2017 т.е.  новых rootkit - тов не было... скоро, как год уже не было новых... 2) За год резко снизилось число ADWARE агентов. 3) Снизилось число заражений шифраторами. 4) Число заражений файловыми вирусами. 5) Блокировщики экрана превратились в анахронизм - в живых динозавров. Почему это происходит ? а) Были приняты меры, как разработчиками программ так и пользователями. Появились более защищённые браузеры, эффективные Free Antivirus - ы, повысился уровеньосведомлённости пользователей PC ( сейчас даже бабушки знают, что нужно проверять файл hosts ) Как результат - модификация ( злонамеренная ) файла hosts практически прекратилась. ADWARE - файлы часто подписывают Электронно цифровой подписью ( ЭЦП  ) - и платили ( платят )  за это деньги... Как результат: Овчинка перестала стоить выделки. ( дебет не сходиться с кредитом ) Число левых ЭЦП резко сократилось... б) Крупные компании практически перестали досаждать пользователям такими продуктами как:  Guard mail.ru;  Яндекс praetorian и т.д. так, как рынок уже поделили... с) Сменилась прицельна точка с Windows на Android  системы. д) Также по всей видимости произошла переориентация у плохих дядей. На данный момент  появились возможности заработать относительно легальным путём - те же .js майнеры на сайтах... Резко возросло число преступлений - со стороны мошенников соответственно это привело к снижению активности на иных направлениях. Кроме того технический прогресс не стоит на месте. Раньше мы постоянно использовали CD\DVD - USB диски. сейчас же благодаря появлению облачных хранилищ, доступности интернета, скорости передачи данных... Обмен дисками снизился на несколько порядков. Как результат практически исчезли Autorun вирусы и резко снизилось число файловых заражений. Изменилось отношение пользователей к безопасности - отношение стало более ответственным. так, как нормальная работа PC и сохранение информации напрямую стала связана с доходами - работа в интернете, передача данных, отчётов, банковские переводы, регистрации и т.д. Чаще стали покупать лицензии, к антивирусам, а не использовать взломанные версии. Были внедрены многоуровневые системы  проверки данных. К примеру: данные проверяет почтовый сервер и только потом данные передаются пользователю, где они повторно проверяются. Появились онлайн сканеры типа: herdProtect; threatinfo.net; reasoncoresecurity.com У вируса\adware остаётся мало шансов уйти от обнаружения ведь файл анализирует: 60 + антивирусов. Была налажена схема\линия обмена данными между антивирусными компаниями - угрозы быстро обнаруживают и нейтрализуют - что резко снижает время активности вируса\угрозы и снижает доходность. В связи с многочисленными атаками на баки были предприняты доп. меры, как со стороны банков, так и со стороны правоохранительных органов - о чём свидетельствую аресты. Разработка искусственного интеллекта ( его элементов ) - совершенствование механизмов эвристики. Создание общих баз данных по угрозам - определение закономерностей в коде, принципах распространения. Внедрение оплаты компаниями за найденные в их продуктах уязвимости - что также привело к росту стоимости информации на чёрном рынке. Сменились направления атак. Чаще стали атаковать: Китай и Корею. ------------ Но не стоит расслабляться. Произошло переключение на майнинг   вирусы   и по прежнему  свирепствуют шифраторы да и рекламные агенты продолжают нас радовать.
    • amid525
      Зашел на форум после некоторого перерыва. М-да, сайт потух вовсе.. Помню были времена, когда в день несколько сотен-тысяч его посещали, когда обсуждали "бабушкин антивирус")). (Вот это был не превзойденный и уже ни когда не повторимый пиар для форума! Ех....) Да и не только, в каждой практически теме, каждый день были сообщения.. Неужели компьютеров, или угроз стало меньше, заражений?? Раньше(пару лет назад) тоже загонялся выборами антивирусов, напуганный страшилками о опасных вирусах и поголовных заражений..  Время показало - Ни чего этого нет!  Брожу где хочу.  Имея только бесплатный фаервол комодо 5, и Кериш Доктор. И браузер с блокировщиком рекламы. Вот тут-то неоценимая от него помощь, нежели от антивирусов.. С крещением всех, и наступившим 2018!
    • amid525
    • stroitel80
      Надо попробовать на старом компе и все станет ясно
    • msulianov
      Перечень работ по ремонту серводвигателей, который мы выполняем 1) диагностика:
      - проверка изоляции обмоток статора,
      - проверка вращающего момента на валу двигателя при номинальном токе,
      - проверка момента удержания вала при включенном тормозе двигателя,
      - проверка наличия сигналов энкодера,
      - проверка наличия сигналов резольвера,
      - проверка наличия сигналов датчика положения ротора, 2) настройка (юстировка) энкодера (резольвера или датчика положения) относительно вала двигателя, 3) ремонт энкодера (резольвера или датчика положения), 4) замена энкодера (резольвера или датчика положения), 5) поставка энкодера (резольвера или датчика положения), 6) перемотка резольвера, 7) считывание данных из энкодера, извлечение данных из неисправного энкодера, 8) запись данных в новый энкодер, 9) программирование энкодера, 10) замена подшипников, 11) замена сальников, 12) ремонт тормоза двигателя, 13) перемотка обмотки тормоза, 14) замена силовых разъемов, 15) замена разъемов датчика положения ротора, 16) замена датчиков температуры установленных в двигателе, 17) перемотка статорной обмотки двигателя.  контакты: http://www.remontservo.ru  [email protected] +79171215301