AM_Bot 48 Опубликовано Сентябрь 20, 2013 Специалисты компании «Доктор Веб» обнаружили самую крупную в мире бот-сеть из инфицированных мобильных устройств на базе ОС Android. На сегодняшний день известно о более чем 200 000 смартфонах, которые были заражены вредоносными программами семейства Android.SmsSend и входят в ее состав. подробнее Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
Сергей Ильин 1538 Опубликовано Сентябрь 23, 2013 Странно, что новость прошла малозамеченной на форуме. Между тем Доктор заявил ни много ни мало об обнаружении крупнейшей мобильной бот сети на Андроиде. Причем есть геоспецифика: По сведениям, собранным специалистами компании «Доктор Веб», в бот-сеть на сегодняшний день входит более 200 000 мобильных устройств, работающих под управлением Google Android, при этом наибольшая их часть (128 458) принадлежит российским пользователям, на втором месте располагается Украина с показателем 39 020 случаев заражения, на третьем — Казахстан: здесь от действий злоумышленников пострадали 21 555 пользователей. Более подробная картина распространения угроз показана на следующей иллюстрации. Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
Umnik 997 Опубликовано Сентябрь 23, 2013 Ну вообще это уже третий топик по этой теме Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
Viktor 669 Опубликовано Сентябрь 29, 2013 Кто-нибудь здесь понимает методику расчета? Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
hEx 0 Опубликовано Сентябрь 30, 2013 Ага. Троянец фигачит GET-запросы на C&C в следующем формате: GET /getTask.php?imei=[номер IMEI]&balance=[баланс]&country=[страна]&phone=[номер телефона]&op=[оператор]&mnc=[Mobile Network Code]&mcc=[Mobile Country Code]&model=[модель]&os=[версия ОС] Собственно, на малварном C&C эта информация сохраняется, в том числе и Mobile Network Code (код оператора сотовой связи), и Mobile Country Code (код страны). А имея к этой базе доступ, можно создать и карту заражений, и диаграмму распределения заражений по сотовым операторам Вот тут http://en.wikipedia.org/wiki/Mobile_country_code можно посмотреть расшифровку и MCC, и MNC. Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
Viktor 669 Опубликовано Сентябрь 30, 2013 А имея к этой базе доступ, можно создать и карту заражений, и диаграмму распределения заражений по сотовым операторам А кто имеет к этой базе доступ и как он получен? Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
B . 90 Опубликовано Сентябрь 30, 2013 А кто имеет к этой базе доступ и как он получен? Это риторический вопрос? Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
Viktor 669 Опубликовано Сентябрь 30, 2013 Это риторический вопрос? Неа, хочу понять, откуда ноги растут Понятно же, что меня не статья на википедии интересовала Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
B . 90 Опубликовано Сентябрь 30, 2013 Неа, хочу понять, откуда ноги растут Понятно же, что меня не статья на википедии интересовала Держи: http://bit.ly/18jd1sf Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты
Viktor 669 Опубликовано Сентябрь 30, 2013 Держи: http://bit.ly/18jd1sf Спасибо, конечно, но это не дает прямого ответа на вопрос или все было как в этом случае:? Как было подсчитано количество зараженных компьютеров?Для подсчета размеров ботнета был использован метод sinkhole, суть которого заключается в следующем. BackDoor.Flashback.39, как и многие другие троянские программы, не содержит в себе адресов управляющих серверов, он генерирует их автоматически по специальному алгоритму в виде обычных DNS-имен веб-сайтов. Благодаря этой технологии злоумышленники могут оперативно зарегистрировать новый управляющий сервер, если антивирусные компании заблокируют существующие, поскольку они знают алгоритм, используемый троянцем для выбора таких имен. К тому же этот метод позволяет вирусописателям оперативно перераспределять нагрузку между несколькими управляющими серверами: при определенном размере ботнета один командный центр может попросту не справиться с управлением сетью. Поэтому троянец последовательно «стучится» на все командные серверы, которые может найти. Дальше дело техники: специалисты компании «Доктор Веб» проанализировали используемый BackDoor.Flashback.39 алгоритм выбора доменных имен, зарегистрировали несколько из них и установили на этих сайтах собственную управляющую программу. Первоначально существовало предположение, что часть троянцев, «отстукивающихся» на созданный специалистами «Доктор Веб» управляющий центр, является модификацией BackDoor.Flashback.39 для ОС Windows, но аналитики «Доктор Веб» достаточно быстро получили доказательства того, что это не так. Все обнаруженные антивирусной лабораторией боты работали под управлением Mac OS X. Поделиться сообщением Ссылка на сообщение Поделиться на другие сайты