Ботнет, атаковавший Южную Корею, выводит из строя зомби-машины после их использования

Ботнет, атаковавший Южную Корею, выводит из строя зомби-машины после их использования

На прошлой неделе десятки правительственных сайтов Южной Кореи подверглись DDoS-атакам. Сами по себе нападения, нацеленные на отказ в обслуживании, сегодня уже никого не удивляют, однако каждый раз что-то интересное обнаруживается в 'сопутствующих' материалах; вот и теперь исследовательская лаборатория McAfee, вскрыв бот-клиент, который использовался для направления и координации потоков мусорных запросов, нашла в нем разрушительную начинку.



Эксперт компании Георг Вичерски рассказал о находке в корпоративном блоге еще в понедельник, однако зарубежные СМИ отреагировали лишь несколько дней спустя. Тем не менее, лучше поздно, чем никогда: сообщить об опасном коде важно, поскольку он характеризуется высоким уровнем деструктивности и нацелен на необратимую порчу данных, хранящихся на инфицированном компьютере.


Итак, согласно блог-записи, после установки в систему бот-клиент создает файл noise03.dat, куда записывает отметку о дате / времени заражения, а также количество дней, которое отведено компьютеру. Оператор вредоносной сети может увеличить последний параметр с помощью особых команд, но общая продолжительность "срока дожития" не может превышать 10 дней. Как только время истечет, будет запущен деструктивный функционал:
- первые секторы всех физических жестких дисков перезаписываются нулями (т.е. уничтожается MBR),
- все файлы, хранящиеся на дисках, просматриваются и тоже перезаписываются нулями, если их расширения совпадают с указанными в специальном списке. Список невелик, но содержателен: в него входят популярные форматы документов (doc, docx, docm, xls, xlsx, pdf, eml) и файлов данных для некоторых языков программирования (c, cpp, h, java).
Любопытно, что разработчики бот-клиента предусмотрели даже защиту от перевода системной даты: если установить день, предшествующий моменту инфицирования, то разрушительные процедуры будут запущены немедленно.


Есть у ботнета и другая особенность: он обладает двухуровневой системой контрольных серверов, почти равномерно распределенных по всему миру. Серверы первого уровня указаны в файле конфигурации, который может обновляться оператором вредоносной сети; при обращении к ним инфицированный компьютер получает список серверов второго уровня, от которых уже поступают конкретные инструкции. Секторная диаграмма географического расположения контрольных точек ботнета, построенная аналитиками McAfee, говорит сама за себя.



(изображение из первоисточника blogs.mcafee.com. Щелкните для увеличения...)


При этом бот-клиент похож скорее на троянский загрузчик: он не получает от центра управления прямые команды, а "скачивает" с командных серверов конфигурационные файлы, содержимое которых считывают и приводят в исполнение вторичные компоненты вредоносной программы, работающие независимо от основной службы.


Описанная инфраструктура управления усложняет декомпозицию и обратный анализ инфекции, а также обеспечивает отказоустойчивость: трудно подавить сразу все серверы, если они находятся в не одном десятке стран мира.


McAfee

На IT IS conf 2026 обсудили жизнь ИБ после эпохи импортозамещения

В Екатеринбурге прошла седьмая конференция IT IS conf, посвященная актуальным вопросам ИТ и информационной безопасности. Организатором мероприятия выступил системный интегратор УЦСБ при поддержке Министерства цифрового развития и связи Свердловской области.

Одной из центральных тем конференции стала так называемая «Эпоха постоптимизма» — ситуация, в которой компаниям приходится искать баланс между растущим количеством киберугроз, ужесточением требований регуляторов и ограниченными бюджетами.

Участники пленарной дискуссии сошлись во мнении, что сокращение затрат на информационную безопасность не должно приводить к появлению новых уязвимостей. Вместо постоянного наращивания закупок всё большее значение приобретают автоматизация процессов, грамотная настройка уже внедренных средств защиты и повышение квалификации специалистов.

Отдельное внимание эксперты уделили искусственному интеллекту. По их мнению, ИИ ускоряет действия не только защитников, но и злоумышленников, поэтому организациям приходится пересматривать подходы к мониторингу событий безопасности и реагированию на инциденты.

Практическая часть конференции включала киберпоединок, круглый стол по противодействию атакам с использованием ИИ, а также серию технических воркшопов. Участники разбирали реальные сценарии поиска уязвимостей, изучали методы Threat Hunting, расследовали инциденты с использованием DLP-систем и анализировали безопасность открытых больших языковых моделей.

Отдельный блок был посвящен защите экосистемы 1С и изменениям в регулировании объектов критической информационной инфраструктуры.

Помимо деловой программы, конференция стала площадкой для развития технологического сотрудничества. УЦСБ и R-Vision подписали соглашение о совместной работе над проектами на базе платформы R-Vision EVO, а УЦСБ и Security Vision оформили технологическое партнерство в области автоматизации мониторинга угроз прикладного уровня.

Еще одним заметным событием стала презентация книги «Хакерская самооборона» специалиста по анализу защищенности УЦСБ Андрея Жукова. Автор представил подходы к активной защите, основанные на изучении и использовании слабых мест инструментов самих злоумышленников.

В целом IT IS conf 2026 показала, что российский рынок ИБ постепенно смещает фокус с экстренного реагирования на долгосрочное повышение устойчивости. Главным вопросом становится уже не выбор очередного средства защиты, а умение эффективно использовать имеющиеся ресурсы и регулярно проверять свою готовность к реальным атакам.

RSS: Новости на портале Anti-Malware.ru