Перейти к содержанию
AM_Bot

Размер бот-сети BackDoor.Flashback.39 изменился незначительно

Recommended Posts

AM_Bot

20 апреля 2012 года

Специалисты компании «Доктор Веб» — российского разработчика средств информационной безопасности — продолжают отслеживать состояние крупнейшей на 20 апреля бот-сети, состоящей из компьютеров под управлением Mac OS X, обнаруженной экспертами «Доктор Веб» 4 апреля 2012 года. В последнее время в открытых источниках появляются сообщения об уменьшении численности инфицированных троянцем BackDoor.Flashback.39 «маков», но компания "Доктор Веб" располагает иными статистическими данными – количество инфицированных компьютеров по-прежнему составляет порядка 650 000.

На сегодняшний день по данным компании «Доктор Веб» в сети BackDoor.Flashback.39 зарегистрировано 817 879 бота, из них ежесуточно активность проявляют в среднем 550 000 инфицированных машин. Так, на 16 апреля в бот-сети BackDoor.Flashback.39 было зафиксировано 717 004 уникальных IP-адресов и 595 816 уникальных UUID инфицированных Apple-совместимых компьютеров, 17 апреля статистика продемонстрировала 714 483 уникальных IP и 582 405 уникальных UUID. При этом ежедневно в ботнете BackDoor.Flashback.39 появляются новые инфицированные компьютеры, не зарегистрированные в сети ранее. На опубликованном ниже графике показана динамика изменения численности ботнета BackDoor.Flashback.39 в период с 3 по 19 апреля 2012 года.

grafik_map_Flashback_small_20_ap.png

Количество зараженных машин BackDoor.Flashback.39 в период с 3 по 19 апреля 2012 года

Однако в последнее время в отрытых источниках стали появляться публикации, рассказывающие о сокращении численности бот-нета BackDoor.Flashback.39. Как правило, такие материалы основываются на анализе статистики перехваченных управляющих серверов этой сети. Специалисты компании «Доктор Веб» провели специальное исследование, ставящее своей целью выяснить причины подобного расхождения статистических данных.

Троянец BackDoor.Flashback.39 использует сложный алгоритм подбора доменных имен своих управляющих серверов: имена основной части доменов генерируются на основе встроенных в ресурсы вредоносной программы конфигурационных данных, другая часть создается в зависимости от текущей даты. Троянец осуществляет последовательный опрос командных центров в соответствии с заложенными в него приоритетами. Основные домены командных серверов BackDoor.Flashback.39 были зарегистрированы компанией «Доктор Веб» еще в начале апреля, и к ним составляющие сеть боты обращаются в первую очередь. 16 апреля были зарегистрированы дополнительные домены, имена которых генерируются на основе даты. Поскольку данные домены используются всеми подверсиями ботнета BackDoor.Flashback.39, регистрация дополнительных доменов управляющих серверов позволила более точно подсчитать размер вредоносной сети, что отчетливо видно на графике. Однако следом за серверами, принадлежащими компании «Доктор Веб», троянцы обращаются с соответствующим запросом к принадлежащему неизвестным лицам командному центру 74.207.249.7, устанавливающему связь с ботами, но не закрывающему TCP-соединение. Это приводит к тому, что боты переходят в режим ожидания ответа сервера и, как следствие, не опрашивают остальные командные центры, многие из которых были специально зарегистрированы специалистами по информационной безопасности. Это и является причиной появления противоречивой статистики от разных антивирусных компаний - с одной стороны, Symantec и «Лаборатория Касперского» заявляли о значительном уменьшении числа ботов, с другой - данные компании "Доктор Веб" неизменно указывали на существенно большее число инфицированных компьютеров при очень слабой тенденции к их уменьшению. На иллюстрации ниже предлагается пример TCP-соединения с командным центром, вызывающего «зависание» ботов BackDoor.Flashback.39.

TCP_stream.1.png

Компания «Доктор Веб» вновь предупреждает пользователей Mac OS X об опасности заражения вредоносной программой BackDoor.Flashback.39, призывает установить обновления Java и проверить компьютеры на наличие заражения, для чего можно воспользоваться ресурсами сайта www.drweb.com/flashback. Для удаления троянца можно воспользоваться бесплатной программой Dr.Web для Mac OS X Light.

Источник

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA

Тяжела ты шапка Мономаха главного спасителя вселенной :lol:

Эксперты из Лаборатории Касперского представили в четверг собственное видение ситуации с Flashback-ботнетом — по их оценке, на середину недели общее количество инфицированных Маков упало до 30 тыс. машин. С оглядкой на датированные вторником 17 апреля расчеты вирусологов Symantec, насчитавших 140 тыс. зараженных Flashback'ом компьютеров вместо ожидавшихся 99 тысяч, текущая ситуация выглядит на порядок радужнее, а на фоне исходных размеров ботнета (более 600 тыс. компьютеров под управлением OS X) такая разница становится просто разительной.

Kaspersky-Flashback.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Тяжела ты шапка Мономаха главного спасителя вселенной :lol:

А зачем тогда Шаров просит информацию у Лаборатории? :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA
А зачем тогда Шаров просит информацию у Лаборатории? :lol:

Таки попросил? :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Таки попросил? :rolleyes:

По-моему они даже не поняли кто к ним обращается :facepalm:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Что-то Александр Гостев давно не троллил Доктора, неужели с ними теперь работает по ботнету? :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
kolan

За тоннами спама на этом ресурсе по инфобезопасности и не увидеть подобных новостей.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Что-то Александр Гостев давно не троллил Доктора, неужели с ними теперь работает по ботнету? :rolleyes:

Да мне не за что их троллить в случае с Флешфейком же. А работаем мы с Symantec и еще одной компАнией, которая просила не афишировать :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Да мне не за что их троллить в случае с Флешфейком же. А работаем мы с Symantec и еще одной компАнией, которая просила не афишировать :)

Я понимаю, NDA есть NDA...

Но ты вот скажи, Шаров инфой с вами не делился?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Я понимаю, NDA есть NDA...

Но ты вот скажи, Шаров инфой с вами не делился?

Нет. Да и какой ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Нет. Да и какой ?

Ну и стал бы он тогда бежать к @kaspersky и писать им в английский твиттер, кося под англичанина что ли :facepalm:.

Ну скажи уже что какой-то обмен инфой между тобой и Шаровым был...Или я уже превращаюсь в параноика?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Ну и стал бы он тогда бежать к @kaspersky и писать им в английский твиттер, кося под англичанина что ли :facepalm:.

Ну скажи уже что какой-то обмен инфой между тобой и Шаровым был...Или я уже превращаюсь в параноика?

Ты чо, правда думаешь что это сам Шаров пишет что ли ?

https://twitter.com/#!/b_sharov/status/...357929708130306

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Ты чо, правда думаешь что это сам Шаров пишет что ли ?

https://twitter.com/#!/b_sharov/status/...357929708130306

Даже так?

Лично я думал, что вы с Шаровым обменялись какой-то инфой ну и тот побежал потом писать на твиттер компании, думая что Лаборатория даст ему что-то взамен.

Но если ты считаешь, что Твиттер не Шарова тогда я даже не знаю что это за ...Какие-то подставы офиц. лиц Доктора что ли?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

Еще раз - нет, ни с Шаровым, ни с кем либо из Доктор Веб мы никакой инфой не менялись.

Какое-то общение если и было - то все на уровне твитов (можно посмотреть)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
Ты чо, правда думаешь что это сам Шаров пишет что ли ?

Хм, данную ветку форума посетил призрак кота Дорофея?...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Еще раз - нет, ни с Шаровым, ни с кем либо из Доктор Веб мы никакой инфой не менялись.

Ну теперь у меня вопросов стало еще больше :( но аудиторию они навряд ли заинтересуют, так что оставлю при себе.

Единственный, не связанный с этим, Symantec знали про ботнет до 4-го числа?

Хм, данную ветку форума посетил призрак кота Дорофея?...

Не знаю про Дорофея :)

Но меня очень удивило знание им технических тонкостей, он же к этому вообще не имеет отношения, ты ж знаешь.

@A.

Ты ж сам говорил что тебе Шаров в твиттере подтвердил http://www.anti-malware.ru/forum/index.php...st&p=153872

Непонятки с твоей стороны получаются...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
А работаем мы с Symantec :)

И кто тогда ботов глушит?

Я честно говоря уже сомневаюсь что Доктор не прав. И кому верить а кому нет. Ведь если гипотетически кто-то из кругов Apple будет делать frozen для ботов, то конечно их популяция упадет с сотен тысяч до 30 тыс за несколько недель. Может вы и сами историю эту заминаете. Кто ботов фрозит, а?

Да мне не за что их троллить в случае с Флешфейком же.

Тут ты опять прокололся, как же не за что, если вы выкатываете статистику прямо противоположную Доктору, а??

Так что прав Доктор, что ботов столько же как было или нет?

Ты ж сам уже следов понаоставлял море.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
И кто тогда ботов глушит?

Я честно говоря уже сомневаюсь что Доктор не прав. И кому верить а кому нет. Ведь если гипотетически кто-то из кругов Apple будет делать frozen для ботов, то конечно их популяция упадет с сотен тысяч до 30 тыс за несколько недель. Может вы и сами историю эту заминаете. Кто ботов фрозит, а?

Тут ты опять прокололся, как же не за что, если вы выкатываете статистику прямо противоположную Доктору, а??

Так что прав Доктор, что ботов столько же как было или нет?

Ты ж сам уже следов понаоставлял море.

Ты что-то куришь или как ?

Какие круги Эппл, какие фрозы ?

Одна небольшая, но местами известная, секьюрити компания накосячила со своим синкхолом, да так - что похерила статистику всем остальным (включая нас и Симантек, но исключая ДрВеб). Их за это стоит конечно бы выпороть, да в принципе пофиг.

Я ж бл все достаточно ясно в твиттере писал, не ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Одна небольшая, но местами известная, секьюрити компания накосячила со своим синкхолом, да так - что похерила статистику всем остальным (включая нас и Симантек, но исключая ДрВеб). Их за это стоит конечно бы выпороть, да в принципе пофиг.

Ни хрена себе пофиг...ни хрена себе подпортили...

В результате у всех разная статистика, но ведь у доктора она все равно в несколько раз больше. Если раз не в десять.

Symantec знал про ботнет или нет??

Все равно тут косяков еще море если поразмыслить. И в твиттере точно Шаров, не надо тут загонять что это не он.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

Если и так непонятно, то могу прям примерно хронологию описать.

4-5 апреля начинается вся эта свистопляска.

Мы синкхолим, смотрим, считаем - сразу под 600к набегает - все ок, подтверждаем что ДрВеб прав и ботнет реально вот такой большой.

Потом происходит спад небольшой, списываем его на выходные, тем более что после выходных он примерно восстанавливается - в районе 350-400к, что подтверждается и данными Симантека.

Потом вдруг начинает как-то снижаться и черезчур быстро. Причем снижается и у нас на наших доменах и у Симантека.

Тут вдруг появляется Шаров и говорит - "811852 UUIDs connecting to servers". Поскольку иностранцы читают как им написано - они понимают это буквально - то есть мол прям счас вот столько и долбится. Начинается ох и ах и журналисты кидаются к нам и Симантеку за данными - а что вы видите ? Мы с Симантеком обмениваемся данными взаимно, сверяем домены, технологии, в принципе понимаем что работаем по идентичной схеме и видим примерно то же самое. Собственно - вот что видим (падение до 100к) о том и говорим.

Ага, тут "Шаров" видимо понимает,что его английский был понят неверно и поправляется и говорит - "не не не, имелось в виду 811к ботов за все-все время".

После чего начинается какая-то каша с тем, что английскому "Шарова" уже как-то не верят сразу и на его твиты про 460к ботов смотрят эээ ну с подозрением. При этом "Шаров" говорит что "мы вот еще доменов взяли и еще и вообще от всех вариантов Флешбека" - что как бы непонятно, от каких еще вариантов и какие домены - они же вроде все уже давно должны были быть под синкхолами или прибиты Эпплом в 127.0.0.1

Ну и вот тут вдруг снисходит озарение и обнаруживается, что один из доменов (rfffnahfiywyd.net на 74.207.249.7) - оказывается мертв аки пробка. При этом надо понимать что rfffnahfiywyd.com и rfffnahfiywyd.info - зареганы на Доктор Веб, а httprfffnahfiywyd.kz и rfffnahfiywyd.in убиты в 127.0.0.1

Учитывая то что rfffnahfiywyd.com/info на ДокторВебе - как-то думалось что и rfffnahfiywyd.net - тоже их. Ну глупо же как взять com домен 3-го апреля, info - 10го, а домен net 6 апреля оставить кому-то другому ?

А вот и нет - действительно rfffnahfiywyd.net был зареган другой компанией, которая тоже решила поучаствовать в акции free sinkhole for all, но в какой-то момент что-то на своей стороне поломала и боты, приходящие к ней туда - тупо залипали и дальше по спискам доменов не шли - таким образом не доходя до доменов наших и симантека (и еще ряда компаний). А докторвебовский rfffnahfiywyd.com оказывался просто раньше чем net - поэтому к нему доходили.

Из-за этого и пошла разность в статистике.

Еще что-то непонятно ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
И в твиттере точно Шаров, не надо тут загонять что это не он.

Кстати, а что, Борис маковод ? Ну судя по инфе из его твитов "via Twitter for Mac" (хотя и не из всех :)

https://twitter.com/#!/b_sharov/status/...304987139452929

ну тогда очень жаль, что он даже свой собственный докторвебовский айпишник - записал к плохим парням :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Еще что-то непонятно ?

С этим твиттер-аккаунтом то Шаров то нет, не знаю. Не мог же настоящий Шаров писать Николасу из Лаборатории какую-то хрень типа "Salut! Sex-on-the-beach va bien?".

Зачем ты мозг пудришь, уводя от общей картины в сторону к деталям, а?

Ты понимаешь, что Symantec с 11 числа выкатывала статистику, которая нам недвусмысленно намекала, что популяция сокращается постоянно?

image137articlethumbnai.png

Этот факап с синкхолом случился недавно насколько я знаю и он здесь ни при чем.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Зачем ты мозг пудришь, уводя от общей картины в сторону к деталям, а?

Ты понимаешь, что Symantec с 11 числа выкатывала статистику, которая нам недвусмысленно намекала, что популяция сокращается постоянно?

А это что было ?

https://twitter.com/#!/b_sharov/status/...851092080558080

The total daily figure on April 18th was slightly over 460 000.

А сегодня нам рассказывают уже про 610к 18 апреля?

grafik_map_Flashback_small_20_ap.png

Так сокращалась или нет ? :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

И кто такой этот @stevejoblard bug hunter? Какой статистикой вы делились с Symantec? Я что-то сомневаюсь что Symantec понадобится ваша статистика, с их то мощностями.

А это что было ?

https://twitter.com/#!/b_sharov/status/...851092080558080

The total daily figure on April 18th was slightly over 460 000.

А сегодня нам рассказывают уже про 610к 18 апреля?

grafik_map_Flashback_small_20_ap.png

Так сокращалась или нет ? :)

Слушай, хватит вилять :)

Забили на фейковый аккаунт Шарова и статистику от Доктора.

Кто тут воду мутит, Symantec что ли??

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×