Антивирусные компании говорят об отключении хакерского ботнета Harnig

Александр Панасенко 28 Марта 2011 - 13:43

...

В компании FireEye зафиксировали любопытное совпадение: на следующий день после свержения Rustock замолчали командные серверы ботнета Harnig. Как сообщает "Лаборатория Касперского", Harnig, он же Piptea, ― PPI-зловред, единственным назначением которого после внедрения в систему является загрузка и запуск других вредоносных приложений. Владельцы ботнета, созданного на его основе, получают определенную мзду от заказчиков за каждую успешную инсталляцию.

По свидетельству FireEye, последние пару лет Harnig и Rustock демонстрировали весьма устойчивый симбиоз. При этом установка Rustock на зараженную машину осуществлялась в два этапа: Harnig закачивал специализированный инсталлятор заказчика, а тот подгружал спамбот. По наблюдениям экспертов, операторы ботнета-спамера крайне редко меняли партнера и практически не использовали альтернативные способы расширения своих владений, передает cybersecurity.ru.

Отключение центров управления Rustock произошло 16 марта. На следующий день в FireEye отметили, что Harnig провел загрузку разных зловредных программ на зараженные машины, включая ZeuS и SpyEye. Rustock среди них уже не было. После этого все C&C серверы Harnig разом перестали обслуживать запросы подопечных зомби-машин (при обращении выдавали ошибку 404).

Насколько известно, никаких усилий по ликвидации этого ботнета не предпринималось. По данным FireEye, командные серверы Harnig размещены в разных регионах, хотя 45% из них находятся на территории России, а 26% ― в США. Отключить их разом непросто, это не Rustock, у которого 95% C&C хостились на территории одной страны (США), которая к тому же имеет адекватную правовую базу и опыт в противостоянии ботоводам.

Тем не менее, вполне возможно, что PPI-распространители Rustock просто запаниковали и решили приостановить свою противозаконную деятельность, переждать, пока страсти улягутся. В таком случае Harnig через короткое время вновь оживет, и не исключено, что одним из его новых «подарков» владельцам зараженных машин станет обновленный Rustock.

Следующая главная новость »

Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Екатерина Быстрова 23 Сентября 2020 - 15:38

Домашние пользователи Государство Системы контентной веб-фильтрации [taxonomy_vocabulary_2]

Аналитики изучили методы блокировки интернета в Белоруссии

Исследователи из Qurium Media Foundation проанализировали методы блокировки, задействованные четырьмя разными операторами связи в Белоруссии. Напомним, что в ходе протестов в стране на некоторое время отключили интернет, а также заблокировали более 80 веб-сайтов (преимущественно новостных).

Аналитики Qurium Media Foundation подключили к расследованию белорусскую организацию Human Constanta, отстаивающую права человека. Вместе они изучили методы «Белтелекома», МТС, A1 и «Деловой сети».

Исследователи хотели понять, как работает блокировка в исполнении белорусских операторов связи. Согласно отчёту Qurium Media Foundation, провайдеры использовали собственную инфраструктуру, это значит, что интернет блокировался не на центральном уровне.

Среди конкретных методов исследователи перечислили спуфинг DNS, «прозрачные прокси», перехваченные HTTPS-сертификаты и DPI.

«Деловая сеть», например, перехватывала HTTP-соединения и перенаправляла их на 212.98.160{.}60. Специалисты также нашли сервер «BLOCK-SERVER.bn.by» с IP-адресом 212.98.160{.}157.

HTTP/1.1 307 Temporary Redirect
Location: http://212.98.160.60/

«Белтелеком» использовал различные сигнатуры для блокировки. HTTP-трафик на порт 80 перенаправлялся на 82.209.230{.}23. За редирект отвечал HTTP 302:

HTTP/1.1 302 FOUND
Content-Type: text/html
Location: http://82.209.230{.}23

Антивирусные компании говорят об отключении хакерского ботнета Harnig

Читайте также