Размер бот-сети BackDoor.Flashback.39 изменился незначительно - Современные угрозы и защита от них - Форумы Anti-Malware.ru Перейти к содержанию
AM_Bot

Размер бот-сети BackDoor.Flashback.39 изменился незначительно

Recommended Posts

AM_Bot

20 апреля 2012 года

Специалисты компании «Доктор Веб» — российского разработчика средств информационной безопасности — продолжают отслеживать состояние крупнейшей на 20 апреля бот-сети, состоящей из компьютеров под управлением Mac OS X, обнаруженной экспертами «Доктор Веб» 4 апреля 2012 года. В последнее время в открытых источниках появляются сообщения об уменьшении численности инфицированных троянцем BackDoor.Flashback.39 «маков», но компания "Доктор Веб" располагает иными статистическими данными – количество инфицированных компьютеров по-прежнему составляет порядка 650 000.

На сегодняшний день по данным компании «Доктор Веб» в сети BackDoor.Flashback.39 зарегистрировано 817 879 бота, из них ежесуточно активность проявляют в среднем 550 000 инфицированных машин. Так, на 16 апреля в бот-сети BackDoor.Flashback.39 было зафиксировано 717 004 уникальных IP-адресов и 595 816 уникальных UUID инфицированных Apple-совместимых компьютеров, 17 апреля статистика продемонстрировала 714 483 уникальных IP и 582 405 уникальных UUID. При этом ежедневно в ботнете BackDoor.Flashback.39 появляются новые инфицированные компьютеры, не зарегистрированные в сети ранее. На опубликованном ниже графике показана динамика изменения численности ботнета BackDoor.Flashback.39 в период с 3 по 19 апреля 2012 года.

grafik_map_Flashback_small_20_ap.png

Количество зараженных машин BackDoor.Flashback.39 в период с 3 по 19 апреля 2012 года

Однако в последнее время в отрытых источниках стали появляться публикации, рассказывающие о сокращении численности бот-нета BackDoor.Flashback.39. Как правило, такие материалы основываются на анализе статистики перехваченных управляющих серверов этой сети. Специалисты компании «Доктор Веб» провели специальное исследование, ставящее своей целью выяснить причины подобного расхождения статистических данных.

Троянец BackDoor.Flashback.39 использует сложный алгоритм подбора доменных имен своих управляющих серверов: имена основной части доменов генерируются на основе встроенных в ресурсы вредоносной программы конфигурационных данных, другая часть создается в зависимости от текущей даты. Троянец осуществляет последовательный опрос командных центров в соответствии с заложенными в него приоритетами. Основные домены командных серверов BackDoor.Flashback.39 были зарегистрированы компанией «Доктор Веб» еще в начале апреля, и к ним составляющие сеть боты обращаются в первую очередь. 16 апреля были зарегистрированы дополнительные домены, имена которых генерируются на основе даты. Поскольку данные домены используются всеми подверсиями ботнета BackDoor.Flashback.39, регистрация дополнительных доменов управляющих серверов позволила более точно подсчитать размер вредоносной сети, что отчетливо видно на графике. Однако следом за серверами, принадлежащими компании «Доктор Веб», троянцы обращаются с соответствующим запросом к принадлежащему неизвестным лицам командному центру 74.207.249.7, устанавливающему связь с ботами, но не закрывающему TCP-соединение. Это приводит к тому, что боты переходят в режим ожидания ответа сервера и, как следствие, не опрашивают остальные командные центры, многие из которых были специально зарегистрированы специалистами по информационной безопасности. Это и является причиной появления противоречивой статистики от разных антивирусных компаний - с одной стороны, Symantec и «Лаборатория Касперского» заявляли о значительном уменьшении числа ботов, с другой - данные компании "Доктор Веб" неизменно указывали на существенно большее число инфицированных компьютеров при очень слабой тенденции к их уменьшению. На иллюстрации ниже предлагается пример TCP-соединения с командным центром, вызывающего «зависание» ботов BackDoor.Flashback.39.

TCP_stream.1.png

Компания «Доктор Веб» вновь предупреждает пользователей Mac OS X об опасности заражения вредоносной программой BackDoor.Flashback.39, призывает установить обновления Java и проверить компьютеры на наличие заражения, для чего можно воспользоваться ресурсами сайта www.drweb.com/flashback. Для удаления троянца можно воспользоваться бесплатной программой Dr.Web для Mac OS X Light.

Источник

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA

Тяжела ты шапка Мономаха главного спасителя вселенной :lol:

Эксперты из Лаборатории Касперского представили в четверг собственное видение ситуации с Flashback-ботнетом — по их оценке, на середину недели общее количество инфицированных Маков упало до 30 тыс. машин. С оглядкой на датированные вторником 17 апреля расчеты вирусологов Symantec, насчитавших 140 тыс. зараженных Flashback'ом компьютеров вместо ожидавшихся 99 тысяч, текущая ситуация выглядит на порядок радужнее, а на фоне исходных размеров ботнета (более 600 тыс. компьютеров под управлением OS X) такая разница становится просто разительной.

Kaspersky-Flashback.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Тяжела ты шапка Мономаха главного спасителя вселенной :lol:

А зачем тогда Шаров просит информацию у Лаборатории? :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA
А зачем тогда Шаров просит информацию у Лаборатории? :lol:

Таки попросил? :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Таки попросил? :rolleyes:

По-моему они даже не поняли кто к ним обращается :facepalm:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Что-то Александр Гостев давно не троллил Доктора, неужели с ними теперь работает по ботнету? :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
kolan

За тоннами спама на этом ресурсе по инфобезопасности и не увидеть подобных новостей.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Что-то Александр Гостев давно не троллил Доктора, неужели с ними теперь работает по ботнету? :rolleyes:

Да мне не за что их троллить в случае с Флешфейком же. А работаем мы с Symantec и еще одной компАнией, которая просила не афишировать :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Да мне не за что их троллить в случае с Флешфейком же. А работаем мы с Symantec и еще одной компАнией, которая просила не афишировать :)

Я понимаю, NDA есть NDA...

Но ты вот скажи, Шаров инфой с вами не делился?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Я понимаю, NDA есть NDA...

Но ты вот скажи, Шаров инфой с вами не делился?

Нет. Да и какой ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Нет. Да и какой ?

Ну и стал бы он тогда бежать к @kaspersky и писать им в английский твиттер, кося под англичанина что ли :facepalm:.

Ну скажи уже что какой-то обмен инфой между тобой и Шаровым был...Или я уже превращаюсь в параноика?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Ну и стал бы он тогда бежать к @kaspersky и писать им в английский твиттер, кося под англичанина что ли :facepalm:.

Ну скажи уже что какой-то обмен инфой между тобой и Шаровым был...Или я уже превращаюсь в параноика?

Ты чо, правда думаешь что это сам Шаров пишет что ли ?

https://twitter.com/#!/b_sharov/status/...357929708130306

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Ты чо, правда думаешь что это сам Шаров пишет что ли ?

https://twitter.com/#!/b_sharov/status/...357929708130306

Даже так?

Лично я думал, что вы с Шаровым обменялись какой-то инфой ну и тот побежал потом писать на твиттер компании, думая что Лаборатория даст ему что-то взамен.

Но если ты считаешь, что Твиттер не Шарова тогда я даже не знаю что это за ...Какие-то подставы офиц. лиц Доктора что ли?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

Еще раз - нет, ни с Шаровым, ни с кем либо из Доктор Веб мы никакой инфой не менялись.

Какое-то общение если и было - то все на уровне твитов (можно посмотреть)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
Ты чо, правда думаешь что это сам Шаров пишет что ли ?

Хм, данную ветку форума посетил призрак кота Дорофея?...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Еще раз - нет, ни с Шаровым, ни с кем либо из Доктор Веб мы никакой инфой не менялись.

Ну теперь у меня вопросов стало еще больше :( но аудиторию они навряд ли заинтересуют, так что оставлю при себе.

Единственный, не связанный с этим, Symantec знали про ботнет до 4-го числа?

Хм, данную ветку форума посетил призрак кота Дорофея?...

Не знаю про Дорофея :)

Но меня очень удивило знание им технических тонкостей, он же к этому вообще не имеет отношения, ты ж знаешь.

@A.

Ты ж сам говорил что тебе Шаров в твиттере подтвердил http://www.anti-malware.ru/forum/index.php...st&p=153872

Непонятки с твоей стороны получаются...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
А работаем мы с Symantec :)

И кто тогда ботов глушит?

Я честно говоря уже сомневаюсь что Доктор не прав. И кому верить а кому нет. Ведь если гипотетически кто-то из кругов Apple будет делать frozen для ботов, то конечно их популяция упадет с сотен тысяч до 30 тыс за несколько недель. Может вы и сами историю эту заминаете. Кто ботов фрозит, а?

Да мне не за что их троллить в случае с Флешфейком же.

Тут ты опять прокололся, как же не за что, если вы выкатываете статистику прямо противоположную Доктору, а??

Так что прав Доктор, что ботов столько же как было или нет?

Ты ж сам уже следов понаоставлял море.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
И кто тогда ботов глушит?

Я честно говоря уже сомневаюсь что Доктор не прав. И кому верить а кому нет. Ведь если гипотетически кто-то из кругов Apple будет делать frozen для ботов, то конечно их популяция упадет с сотен тысяч до 30 тыс за несколько недель. Может вы и сами историю эту заминаете. Кто ботов фрозит, а?

Тут ты опять прокололся, как же не за что, если вы выкатываете статистику прямо противоположную Доктору, а??

Так что прав Доктор, что ботов столько же как было или нет?

Ты ж сам уже следов понаоставлял море.

Ты что-то куришь или как ?

Какие круги Эппл, какие фрозы ?

Одна небольшая, но местами известная, секьюрити компания накосячила со своим синкхолом, да так - что похерила статистику всем остальным (включая нас и Симантек, но исключая ДрВеб). Их за это стоит конечно бы выпороть, да в принципе пофиг.

Я ж бл все достаточно ясно в твиттере писал, не ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Одна небольшая, но местами известная, секьюрити компания накосячила со своим синкхолом, да так - что похерила статистику всем остальным (включая нас и Симантек, но исключая ДрВеб). Их за это стоит конечно бы выпороть, да в принципе пофиг.

Ни хрена себе пофиг...ни хрена себе подпортили...

В результате у всех разная статистика, но ведь у доктора она все равно в несколько раз больше. Если раз не в десять.

Symantec знал про ботнет или нет??

Все равно тут косяков еще море если поразмыслить. И в твиттере точно Шаров, не надо тут загонять что это не он.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

Если и так непонятно, то могу прям примерно хронологию описать.

4-5 апреля начинается вся эта свистопляска.

Мы синкхолим, смотрим, считаем - сразу под 600к набегает - все ок, подтверждаем что ДрВеб прав и ботнет реально вот такой большой.

Потом происходит спад небольшой, списываем его на выходные, тем более что после выходных он примерно восстанавливается - в районе 350-400к, что подтверждается и данными Симантека.

Потом вдруг начинает как-то снижаться и черезчур быстро. Причем снижается и у нас на наших доменах и у Симантека.

Тут вдруг появляется Шаров и говорит - "811852 UUIDs connecting to servers". Поскольку иностранцы читают как им написано - они понимают это буквально - то есть мол прям счас вот столько и долбится. Начинается ох и ах и журналисты кидаются к нам и Симантеку за данными - а что вы видите ? Мы с Симантеком обмениваемся данными взаимно, сверяем домены, технологии, в принципе понимаем что работаем по идентичной схеме и видим примерно то же самое. Собственно - вот что видим (падение до 100к) о том и говорим.

Ага, тут "Шаров" видимо понимает,что его английский был понят неверно и поправляется и говорит - "не не не, имелось в виду 811к ботов за все-все время".

После чего начинается какая-то каша с тем, что английскому "Шарова" уже как-то не верят сразу и на его твиты про 460к ботов смотрят эээ ну с подозрением. При этом "Шаров" говорит что "мы вот еще доменов взяли и еще и вообще от всех вариантов Флешбека" - что как бы непонятно, от каких еще вариантов и какие домены - они же вроде все уже давно должны были быть под синкхолами или прибиты Эпплом в 127.0.0.1

Ну и вот тут вдруг снисходит озарение и обнаруживается, что один из доменов (rfffnahfiywyd.net на 74.207.249.7) - оказывается мертв аки пробка. При этом надо понимать что rfffnahfiywyd.com и rfffnahfiywyd.info - зареганы на Доктор Веб, а httprfffnahfiywyd.kz и rfffnahfiywyd.in убиты в 127.0.0.1

Учитывая то что rfffnahfiywyd.com/info на ДокторВебе - как-то думалось что и rfffnahfiywyd.net - тоже их. Ну глупо же как взять com домен 3-го апреля, info - 10го, а домен net 6 апреля оставить кому-то другому ?

А вот и нет - действительно rfffnahfiywyd.net был зареган другой компанией, которая тоже решила поучаствовать в акции free sinkhole for all, но в какой-то момент что-то на своей стороне поломала и боты, приходящие к ней туда - тупо залипали и дальше по спискам доменов не шли - таким образом не доходя до доменов наших и симантека (и еще ряда компаний). А докторвебовский rfffnahfiywyd.com оказывался просто раньше чем net - поэтому к нему доходили.

Из-за этого и пошла разность в статистике.

Еще что-то непонятно ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
И в твиттере точно Шаров, не надо тут загонять что это не он.

Кстати, а что, Борис маковод ? Ну судя по инфе из его твитов "via Twitter for Mac" (хотя и не из всех :)

https://twitter.com/#!/b_sharov/status/...304987139452929

ну тогда очень жаль, что он даже свой собственный докторвебовский айпишник - записал к плохим парням :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Еще что-то непонятно ?

С этим твиттер-аккаунтом то Шаров то нет, не знаю. Не мог же настоящий Шаров писать Николасу из Лаборатории какую-то хрень типа "Salut! Sex-on-the-beach va bien?".

Зачем ты мозг пудришь, уводя от общей картины в сторону к деталям, а?

Ты понимаешь, что Symantec с 11 числа выкатывала статистику, которая нам недвусмысленно намекала, что популяция сокращается постоянно?

image137articlethumbnai.png

Этот факап с синкхолом случился недавно насколько я знаю и он здесь ни при чем.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Зачем ты мозг пудришь, уводя от общей картины в сторону к деталям, а?

Ты понимаешь, что Symantec с 11 числа выкатывала статистику, которая нам недвусмысленно намекала, что популяция сокращается постоянно?

А это что было ?

https://twitter.com/#!/b_sharov/status/...851092080558080

The total daily figure on April 18th was slightly over 460 000.

А сегодня нам рассказывают уже про 610к 18 апреля?

grafik_map_Flashback_small_20_ap.png

Так сокращалась или нет ? :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

И кто такой этот @stevejoblard bug hunter? Какой статистикой вы делились с Symantec? Я что-то сомневаюсь что Symantec понадобится ваша статистика, с их то мощностями.

А это что было ?

https://twitter.com/#!/b_sharov/status/...851092080558080

The total daily figure on April 18th was slightly over 460 000.

А сегодня нам рассказывают уже про 610к 18 апреля?

grafik_map_Flashback_small_20_ap.png

Так сокращалась или нет ? :)

Слушай, хватит вилять :)

Забили на фейковый аккаунт Шарова и статистику от Доктора.

Кто тут воду мутит, Symantec что ли??

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
    • PR55.RP55
      И ещё это: https://www.comss.ru/page.php?id=18330 Это и на работе Образов с Live CD может сказаться ?
    • PR55.RP55
      Тема: https://www.comss.ru/page.php?id=18331    " Ошибка проявляется в том, что при закрытии окна программы с помощью кнопки Закрыть (X) процесс taskmgr.exe не завершается полностью. При повторном открытии Диспетчера задач предыдущий экземпляр продолжает работать в фоне, хотя окно не отображается. В результате со временем накапливаются несколько процессов, что приводит к избыточному потреблению ресурсов системы и снижению производительности... " и это натолкнуло на мыслю. Раз есть такая проблема с taskmgr - то это может повториться с "любой" другой программой... т.е. можно? Реализовать команды: " Обнаружить и завершить все нетипично активные экземпляры Системных процессов\программ".  и " Обнаружить и завершить все нетипично активные экземпляры не Системных...". Такое может быть и с браузерами - например Firefox - если есть две версии программы установленные в разные каталоги и пользователь их запускает - часто бывает неполное завершение. тогда жрёт всё и вся...  
    • Ego Dekker
      Компания ESET (/исэ́т/) ― лидер в области информационной безопасности ― сообщает об обновлении ESET HOME Security Essential и ESET HOME Security Premium, комплексных подписок для защиты устройств домашних пользователей, и ESET Small Business Security, решения для малого бизнеса.

      Среди новинок ― функция восстановления после атак программ-вымогателей, мониторинг микрофона и улучшения безопасности при просмотре веб-сайтов, а также VPN, который предотвращает нежелательное отслеживание, обеспечивая неограниченный доступ к онлайн-контенту. Поскольку мошенничество сегодня является глобальной угрозой для всех пользователей, ESET обеспечивает усовершенствованную защиту от различных мошеннических методов, противодействуя атакам из разных типов источников, включая SMS-сообщения, электронную почту, телефонные звонки, URL-адреса, QR-коды, вредоносные файлы и другие.

      Обновленная платформа ESET HOME также упрощает управление безопасностью, что облегчает пользователям защиту своих семей, а владельцам малого бизнеса позволяет точно отслеживать защищенные устройства, а также устанавливать программы безопасности на все устройства благодаря доступному и понятному интерфейсу. 

      «Как поставщик передовых решений для защиты цифровой жизни, ESET тщательно отслеживает текущую ситуацию с угрозами и соответственно разрабатывает свои решения по кибербезопасности, ― комментирует вице-президент ESET в сегменте домашних пользователей и Интернета вещей. ― Усиленная защита от мошенничества, новая функция восстановления после атак программ-вымогателей и многочисленные усовершенствования безопасности конфиденциальных данных делают продукты ESET для домашних пользователей и малых предприятий мощными комплексными решениями, которые сочетают минимальное влияние на продуктивность и простоту в использовании».

      Решения для домашних устройств и малого бизнеса защищают все основные операционные системы ― Windows, macOS, Android ― и поддерживают разные устройства умного дома. Кроме того, ESET Small Business Security также защищает серверы Windows.

      Основные улучшения для пользователей Windows:

      •    Добавлен VPN (теперь доступно в подписке ESET HOME Security Premium): функция защитит сетевое подключение благодаря анонимному IP-адресу, а безлимитная пропускная способность обеспечит неограниченный доступ к онлайн-контенту. Кроме Windows, VPN также доступен пользователям MacOS, Android и iOS.

      •    Усилена защита конфиденциальных данных (доступно в подписках ESET HOME Security Essential, ESET HOME Security Premium, ESET Small Business Security): новый мониторинг микрофона обнаруживает и уведомляет пользователей о несанкционированных попытках доступа к микрофону на устройствах Windows.

      •    Улучшена безопасность при использовании браузера (доступно в подписках ESET HOME Security Essential, ESET HOME Security Premium, ESET Small Business Security) для защиты от фишинга, мошенничества и вредоносных веб-сайтов. Эта функция сканирует воспроизводимый HTML-код в браузере, чтобы обнаружить вредоносное содержимое, которое не фиксируется на уровне сети и с помощью «черного» списка URL.

      •    Добавлено восстановление после атак программ-вымогателей (доступно в решении ESET Small Business Security): первоначально разработанная для крупного бизнеса, функция позволяет минимизировать ущерб, вызванный этими угрозами. Как только защита от программ-вымогателей выявляет потенциальную угрозу, функция восстановления после атак немедленно создает резервные копии файлов, а после устранения опасности восстанавливает файлы, эффективно возвращая систему в прежнее состояние. Основные улучшения для пользователей macOS (доступны в подписках ESET HOME Security Essential, ESET HOME Security Premium, ESET Small Business Security):

      •    Поддержка macOS 26 (Tahoe) позволяет использовать защиту на текущей версии macOS.

      •    Поддержка HTTPS & HTTP/3 улучшает безопасность пользователей в Интернете.

      •    Управление устройствами контролирует внешние устройства, подключенные к Mac. Функция помогает защитить от вредоносного программного обеспечения и несанкционированной передачи данных, ограничивая доступ к определенным типам или даже отдельным устройствам. Следует отметить, что эти усовершенствования помогут противодействовать постоянно совершенствующимся угрозам с особым акцентом на предотвращение. Компания ESET также считает чрезвычайно важным сочетание кибергигиены с удобной защитой, поскольку действительно эффективная кибербезопасность должна быть простой в настройке и управлении.

      Более подробная информация о многоуровневой защите устройств домашних пользователей и решении для малого бизнеса. Пресс-выпуск.
    • Ego Dekker
      ESET NOD32 Antivirus 19.0.11  (Windows 10/11, 64-разрядная)
              ESET Internet Security 19.0.11  (Windows 10/11, 64-разрядная)
              ESET Smart Security Premium 19.0.11  (Windows 10/11, 64-разрядная)
              ESET Security Ultimate 19.0.11  (Windows 10/11, 64-разрядная)
                                                                                  ● ● ● ●
              Руководство пользователя ESET NOD32 Antivirus 19  (PDF-файл)
              Руководство пользователя ESET Internet Security 19  (PDF-файл)
              Руководство пользователя ESET Smart Security Premium 19  (PDF-файл)
              Руководство пользователя ESET Security Ultimate 19  (PDF-файл)
              
      Полезные ссылки:
      Технологии ESET
      ESET Online Scanner
      Удаление антивирусов других компаний
      Как удалить антивирус 19-й версии полностью?
×