Ботнет, атаковавший Южную Корею, выводит из строя зомби-машины после их использования

На прошлой неделе десятки правительственных сайтов Южной Кореи подверглись DDoS-атакам. Сами по себе нападения, нацеленные на отказ в обслуживании, сегодня уже никого не удивляют, однако каждый раз что-то интересное обнаруживается в 'сопутствующих' материалах; вот и теперь исследовательская лаборатория McAfee, вскрыв бот-клиент, который использовался для направления и координации потоков мусорных запросов, нашла в нем разрушительную начинку.



Эксперт компании Георг Вичерски рассказал о находке в корпоративном блоге еще в понедельник, однако зарубежные СМИ отреагировали лишь несколько дней спустя. Тем не менее, лучше поздно, чем никогда: сообщить об опасном коде важно, поскольку он характеризуется высоким уровнем деструктивности и нацелен на необратимую порчу данных, хранящихся на инфицированном компьютере.


Итак, согласно блог-записи, после установки в систему бот-клиент создает файл noise03.dat, куда записывает отметку о дате / времени заражения, а также количество дней, которое отведено компьютеру. Оператор вредоносной сети может увеличить последний параметр с помощью особых команд, но общая продолжительность "срока дожития" не может превышать 10 дней. Как только время истечет, будет запущен деструктивный функционал:
- первые секторы всех физических жестких дисков перезаписываются нулями (т.е. уничтожается MBR),
- все файлы, хранящиеся на дисках, просматриваются и тоже перезаписываются нулями, если их расширения совпадают с указанными в специальном списке. Список невелик, но содержателен: в него входят популярные форматы документов (doc, docx, docm, xls, xlsx, pdf, eml) и файлов данных для некоторых языков программирования (c, cpp, h, java).
Любопытно, что разработчики бот-клиента предусмотрели даже защиту от перевода системной даты: если установить день, предшествующий моменту инфицирования, то разрушительные процедуры будут запущены немедленно.


Есть у ботнета и другая особенность: он обладает двухуровневой системой контрольных серверов, почти равномерно распределенных по всему миру. Серверы первого уровня указаны в файле конфигурации, который может обновляться оператором вредоносной сети; при обращении к ним инфицированный компьютер получает список серверов второго уровня, от которых уже поступают конкретные инструкции. Секторная диаграмма географического расположения контрольных точек ботнета, построенная аналитиками McAfee, говорит сама за себя.



(изображение из первоисточника blogs.mcafee.com. Щелкните для увеличения...)


При этом бот-клиент похож скорее на троянский загрузчик: он не получает от центра управления прямые команды, а "скачивает" с командных серверов конфигурационные файлы, содержимое которых считывают и приводят в исполнение вторичные компоненты вредоносной программы, работающие независимо от основной службы.


Описанная инфраструктура управления усложняет декомпозицию и обратный анализ инфекции, а также обеспечивает отказоустойчивость: трудно подавить сразу все серверы, если они находятся в не одном десятке стран мира.


McAfee

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Красный Крест: Атаки на медучреждения на фоне COVID-19 нужно остановить

Международное движение Красного Креста бьёт тревогу: кибератаки на медицинские учреждения в период пандемии заболевания COVID-19, вызванного новым коронавирусом SARS-CoV-2, должны прекратиться. Для этого правительства всех стран должны работать сообща, считают представители Красного Креста.

Соответствующее открытое письмо, опубликованное некоммерческой организацией CyberPeace Institute, получило поддержку сообщества. Среди 40 человек, подписавшихся под инициативой, есть лауреаты Нобелевской премии.

«Мы призываем власти всех стран немедленно принять меры, чтобы остановить волну кибератак на медицинские учреждения, их сотрудников и общественные организации сферы здравоохранения», — гласит письмо.

Международный Красный Крест напомнил, что больницы сейчас сталкиваются с повышенной нагрузкой в связи с пандемией COVID-19, в то время как беспринципные киберпреступники пытаются использовать ситуацию для своей выгоды.

К сожалению, особую активность демонстрируют операторы шифровальщиков, которые на фоне повышенной нагрузки пытаются вымогать у медучреждений деньги за восстановление работы отдельных систем.

Свою точку зрения по данному вопросу также озвучил бессменный лидер «Лаборатории Касперского» Евгений Касперский:

«С самого начала пандемии мы пристально наблюдаем за действиями киберпреступников, которые пытаются нажиться на этой ситуации. Вывод один: пока инфекция распространяется, злоумышленники будут использовать этот повод в своих целях».

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru