Обнаружена крупнейшая в мире бот-сеть из 200 000 Android устройств

[AM_Bot 48]

Специалисты компании «Доктор Веб» обнаружили самую крупную в мире бот-сеть из инфицированных мобильных устройств на базе ОС Android. На сегодняшний день известно о более чем 200 000 смартфонах, которые были заражены вредоносными программами семейства Android.SmsSend и входят в ее состав.

подробнее

[Сергей Ильин 1538]

Странно, что новость прошла малозамеченной на форуме. Между тем Доктор заявил ни много ни мало об обнаружении крупнейшей мобильной бот сети на Андроиде. Причем есть геоспецифика:

По сведениям, собранным специалистами компании «Доктор Веб», в бот-сеть на сегодняшний день входит более 200 000 мобильных устройств, работающих под управлением Google Android, при этом наибольшая их часть (128 458) принадлежит российским пользователям, на втором месте располагается Украина с показателем 39 020 случаев заражения, на третьем — Казахстан: здесь от действий злоумышленников пострадали 21 555 пользователей. Более подробная картина распространения угроз показана на следующей иллюстрации.

[Umnik 997]

Ну вообще это уже третий топик по этой теме

[Viktor 669]

Кто-нибудь здесь понимает методику расчета?

[hEx 0]

Ага. Троянец фигачит GET-запросы на C&C в следующем формате:

GET /getTask.php?imei=[номер IMEI]&balance=[баланс]&country=[страна]&phone=[номер телефона]&op=[оператор]&mnc=[Mobile Network Code]&mcc=[Mobile Country Code]&model=[модель]&os=[версия ОС]

Собственно, на малварном C&C эта информация сохраняется, в том числе и Mobile Network Code (код оператора сотовой связи), и Mobile Country Code (код страны). А имея к этой базе доступ, можно создать и карту заражений, и диаграмму распределения заражений по сотовым операторам Вот тут http://en.wikipedia.org/wiki/Mobile_country_code можно посмотреть расшифровку и MCC, и MNC.

[Viktor 669]

А имея к этой базе доступ, можно создать и карту заражений, и диаграмму распределения заражений по сотовым операторам

А кто имеет к этой базе доступ и как он получен?

[B . 90]

А кто имеет к этой базе доступ и как он получен?

Это риторический вопрос?

[Viktor 669]

Это риторический вопрос?

Неа, хочу понять, откуда ноги растут

Понятно же, что меня не статья на википедии интересовала

[B . 90]

Неа, хочу понять, откуда ноги растут

Понятно же, что меня не статья на википедии интересовала

Держи: http://bit.ly/18jd1sf

[Viktor 669]

Держи: http://bit.ly/18jd1sf

Спасибо, конечно, но это не дает прямого ответа на вопрос или все было как в этом случае:?

Как было подсчитано количество зараженных компьютеров?

Для подсчета размеров ботнета был использован метод sinkhole, суть которого заключается в следующем. BackDoor.Flashback.39, как и многие другие троянские программы, не содержит в себе адресов управляющих серверов, он генерирует их автоматически по специальному алгоритму в виде обычных DNS-имен веб-сайтов. Благодаря этой технологии злоумышленники могут оперативно зарегистрировать новый управляющий сервер, если антивирусные компании заблокируют существующие, поскольку они знают алгоритм, используемый троянцем для выбора таких имен. К тому же этот метод позволяет вирусописателям оперативно перераспределять нагрузку между несколькими управляющими серверами: при определенном размере ботнета один командный центр может попросту не справиться с управлением сетью. Поэтому троянец последовательно «стучится» на все командные серверы, которые может найти. Дальше дело техники: специалисты компании «Доктор Веб» проанализировали используемый BackDoor.Flashback.39 алгоритм выбора доменных имен, зарегистрировали несколько из них и установили на этих сайтах собственную управляющую программу. Первоначально существовало предположение, что часть троянцев, «отстукивающихся» на созданный специалистами «Доктор Веб» управляющий центр, является модификацией BackDoor.Flashback.39 для ОС Windows, но аналитики «Доктор Веб» достаточно быстро получили доказательства того, что это не так. Все обнаруженные антивирусной лабораторией боты работали под управлением Mac OS X.