Выявление P2P-«пиратов» по их активности в Skype

Медиакорпорации ищут новые способы борьбы с «пиратством» в интернете и активно финансируют исследования в этой области. Новый способ разработала группа исследователей Франции, Германии и США. Они предложили следить одновременно за IP-адресами пользователей P2P и IP-адресами абонентов Skype.

Сравнивая время начала/окончания раздачи со сменой статуса пользователя Skype онлайн/офлайн, а также за сменой IP-адреса (если пользователь переместился географически), программа делает обоснованное предположение о личности «преступника» на данном IP-адресе. Информация берётся из профиля Skype, сообщает habrahabr.ru.

В сети Skype участники могут видеть IP-адреса других пользователей в случае прямого звонка (даже если звонок будет заблокирован). В то же время IP-адреса сидеров и личеров транслируются трекером, это открытая информация (заметим, что существуют закрытые F2F-системы вроде OneSwarm, где IP-адреса защищены).

Авторы работы нашли способ узнавать IP-адрес абонента Skype с помощью незаметного звонка. Они запустили Skype-трекер на тестовой выборке 100 тыс. случайных Skype ID и провели успешные испытания системы.

Сейчас правоохранительные структуры испытывают трудности с массовой идентификацией нарушителей законов об интеллектуальной собственности. Даже если есть массив IP-адресов (скажем, 100 тысяч), с которых скачивался пиратский контент, остаётся непонятным, по каким адресам высылать запугивающие бумажки о выплате компенсации. Интернет-провайдеры зачастую отказываются сотрудничать и выдавать адреса электронной почты своих абонентов, да и за одним внешним IP-адресом могут скрываться десятки и сотни пользователей, так что непонятно, кто из них качает торренты из-за NAT.

В нашем случае проблема NAT решается, потому что программа автоматической рассылки использует данные (имя, фамилия, дата рождения) из профиля пользователя Skype, легко вычисляя его личность и домашний адрес, по которому нужно отправить квитанцию.

В таких квитанциях указываются на звания «нелегально» скачанных файлов и сумма «ущерба», которую пользователь должен оплатить, чтобы не доводить дело до суда. Хотя доводить до суда никто и не собирается в силу недостаточности улик, но опыт показывает, что большая часть пользователей всё равно соглашается оплатить ущерб, что и требовалось правообладателям. За счёт таких сборов они зачастую собирают больше денег, чем от продажи лицензионного контента.

Во время тестирования на выборке 100 тыс. юзеров Skype было обнаружено 765 IP-адресов, совпадающих с адресами в файлообменных сетях. Программа-валидатор подтвердила 52% этих случаев, выдав список имён 398 пользователей, которые одновременно используют Skype и BitTorrent. Почти все эти пользователи указали в профиле Skype свои настоящие имя и фамилию.

Мировая аудитория Skype составляет 560 млн человек. Таким образом, если применить их программу в таком масштабе, то можно вычислить огромное количество нарушителей, что сулит медиакорпорациям большие прибыли. Если сохранится та же пропорция (398 нарушителей на 100 тыс. пользователей), то среди всей аудитории Skype можно рассчитывать на 2,2 млн потенциальных плательщиков штрафа.

Кстати, во время «слежки» за 9500 активными Skype ID выявились и другие интересные факты. Оказалось, что в течение двух недель 40% пользователей хотя бы однажды меняли свой текущий город, а 4% — страну. Среди всех активных пользователей Skype около 20% Skype ID находятся в онлайне 50% времени.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Троян TrueBot теперь грузится с сайтов под видом апдейта Chrome

В мае специалисты VMware зафиксировали рост активности, связанной с атаками TrueBot. Как оказалось, операторы трояна вновь сменили способ его доставки и теперь используют скрытую загрузку через браузер, выдавая вредоноса за обновление Google Chrome.

По данным экспертов, троянский загрузчик TrueBot, ассоциируемый с преступной группой Silence, активен в интернете как минимум с 2017 года. Он применяется в основном в атаках на банки и другие финансовые институты, реже — на образовательные учреждения.

В прошлом месяце злоумышленники раздавали зловреда в виде файлов update.exe и chrome.exe в надежде, что пользователи браузера Google разрешат исполнение. Судя по IoC, приведенным в блог-записи VMware, на настоящий момент замаскированный таким образом экзешник пока не детектится.

При запуске вредонос прежде всего ищет признаки наличия EDR и антивирусов. Если угрозы нет, он подключается к C2-серверу (российский IP и ранее использовался в атаках TrueBot) и загружает пейлоад второй ступени (3ujwy2rz7v.exe, уровень детектирования на 5 июня — 30/69), запуск которого осуществляется с помощью утилиты командной строки Windows.

Второй исполняемый файл устанавливает связь со своим C2 и выполняет различные действия в системе: получает дампы LSASS, перечисляет запущенные процессы, ворует и выводит конфиденциальную информацию.

 

Ботоводы долгое время распространяли TrueBot, проводя целевые имейл-рассылки. В прошлом году они опробовали эксплойт CVE-2022-31199 для Netwrix Auditor, а также USB-червя Raspberry Robin в качестве вектора доставки.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru