Исследователь вскрыл руткит ZeroAccess

Исследователь вскрыл руткит ZeroAccess

Вирусный аналитик сумел преодолеть оборону руткита, считавшегося одним из наиболее защищенных и технически совершенных. Предполагается, что разработчики этой вредоносной программы связаны с небезызвестной организацией Russian Business Network.

Исследователь института InfoSec Джузеппе Бонфа, специализирующийся на деконструировании программного обеспечения, опубликовал пошаговые инструкции по реверс-инжинирингу руткита ZeroAccess, создатели которого приняли все доступные им меры для противодействия подобным операциям. Однако защита вредоносного продукта не устояла, и теперь аналитики всех поставщиков антивирусных решений смогут изучить руткит (если они еще не сделали этого) и сформировать предложения по более эффективной борьбе с ним.

Согласно результатам исследований, ZeroAccess, известный также под наименованием Smiscer, весьма сложен для удаления, поскольку в процессе очистки есть существенный риск повредить операционную систему. Кроме того, руткит использует низкоуровневые вызовы API для создания новых логических томов, полностью скрытых от жертвы, тем самым чрезвычайно осложняя процесс исследования и делая невозможным применение традиционных инструментов анализа. Вредоносная программа способна также модифицировать системные драйверы и бороться с антивирусными решениями.

Специалист ESET Пьер-Марк Бюро, к которому Интернет-издание The Register обратилось за комментарием, отметил, что в опубликованном документе представлены и описаны все внутренние механизмы работы одного из наиболее совершенных руткитов современности. "Из статьи можно извлечь множество сведений о технологиях, задействованных при создании вредоносной программы, о принципах управления ею, о способах ее установки в систему, а также о том, как детектировать этот руткит", - написал он в электронном письме.

Г-н Бонфа указал в своей работе, что извлеченные из дизассемблированного продукта вредоносные ссылки содержат IP-адреса, связанные с организацией Russian Business Network. В настоящее время ZeroAccess используется главным образом для доставки лжеантивирусного программного обеспечения, хотя с его помощью на компьютеры жертв можно устанавливать любые разработки "адептов темной стороны".

Ознакомиться с результатами труда аналитика InfoSec Institute можно здесь.

Домашний интернет по белому списку: в Ростове перестал работать Telegram

В Ростове-на-Дону, похоже, зафиксирован один из первых подтверждённых случаев работы интернета по белому списку на уровне домашнего провайдера. Эту информацию подтвердили местные жители, которые рассказали, что у них открываются только сервисы из условно разрешённого перечня, а остальные сайты просто не работают.

По словам одной из собеседниц издания, при подключении через домашний интернет у неё не открываются Telegram и любые другие сайты, не входящие в белый список.

Попытка включить VPN ситуацию не изменила: страницы всё равно не загружались, тогда как российские сервисы продолжали работать.

Как пишет «Код Дурова», автоответчик службы поддержки провайдера объясняет происходящее «техническими проблемами», связанными с внешним воздействием на инфраструктуру. В сообщении говорится, что в Южном федеральном округе наблюдаются сложности на магистральных каналах вышестоящего оператора связи, из-за чего возможны перебои в работе интернет-сервисов.

Дополнительно провайдер, по данным издания, ссылается на массированные DDoS-атаки, которые якобы затрагивают сразу ряд операторов. В этой версии речь идёт не о локальном сбое у одного поставщика услуг, а о более широкой волне проблем, влияющей на десятки операторов и сервисов.

При этом пока остаётся неясным, насколько массовый характер носит такая ситуация с домашним интернетом на юге России. Название самого провайдера «Код Дурова» не раскрывает, поэтому независимо проверить масштаб происходящего сейчас затруднительно.

Тем не менее сам факт того, что у части пользователей работают только отдельные сайты и сервисы, а VPN не помогает обойти ограничения, выглядит довольно показательно. Если такие случаи начнут повторяться и в других регионах, разговоры о фактическом интернете по белым спискам могут довольно быстро перейти из разряда слухов в новую реальность.

Напомним, сегодня Telegram предупредил россиян о последнем шансе оформить Premium.

RSS: Новости на портале Anti-Malware.ru