Выявление P2P-«пиратов» по их активности в Skype

Выявление P2P-«пиратов» по их активности в Skype

Медиакорпорации ищут новые способы борьбы с «пиратством» в интернете и активно финансируют исследования в этой области. Новый способ разработала группа исследователей Франции, Германии и США. Они предложили следить одновременно за IP-адресами пользователей P2P и IP-адресами абонентов Skype.

Сравнивая время начала/окончания раздачи со сменой статуса пользователя Skype онлайн/офлайн, а также за сменой IP-адреса (если пользователь переместился географически), программа делает обоснованное предположение о личности «преступника» на данном IP-адресе. Информация берётся из профиля Skype, сообщает habrahabr.ru.

В сети Skype участники могут видеть IP-адреса других пользователей в случае прямого звонка (даже если звонок будет заблокирован). В то же время IP-адреса сидеров и личеров транслируются трекером, это открытая информация (заметим, что существуют закрытые F2F-системы вроде OneSwarm, где IP-адреса защищены).

Авторы работы нашли способ узнавать IP-адрес абонента Skype с помощью незаметного звонка. Они запустили Skype-трекер на тестовой выборке 100 тыс. случайных Skype ID и провели успешные испытания системы.

Сейчас правоохранительные структуры испытывают трудности с массовой идентификацией нарушителей законов об интеллектуальной собственности. Даже если есть массив IP-адресов (скажем, 100 тысяч), с которых скачивался пиратский контент, остаётся непонятным, по каким адресам высылать запугивающие бумажки о выплате компенсации. Интернет-провайдеры зачастую отказываются сотрудничать и выдавать адреса электронной почты своих абонентов, да и за одним внешним IP-адресом могут скрываться десятки и сотни пользователей, так что непонятно, кто из них качает торренты из-за NAT.

В нашем случае проблема NAT решается, потому что программа автоматической рассылки использует данные (имя, фамилия, дата рождения) из профиля пользователя Skype, легко вычисляя его личность и домашний адрес, по которому нужно отправить квитанцию.

В таких квитанциях указываются на звания «нелегально» скачанных файлов и сумма «ущерба», которую пользователь должен оплатить, чтобы не доводить дело до суда. Хотя доводить до суда никто и не собирается в силу недостаточности улик, но опыт показывает, что большая часть пользователей всё равно соглашается оплатить ущерб, что и требовалось правообладателям. За счёт таких сборов они зачастую собирают больше денег, чем от продажи лицензионного контента.

Во время тестирования на выборке 100 тыс. юзеров Skype было обнаружено 765 IP-адресов, совпадающих с адресами в файлообменных сетях. Программа-валидатор подтвердила 52% этих случаев, выдав список имён 398 пользователей, которые одновременно используют Skype и BitTorrent. Почти все эти пользователи указали в профиле Skype свои настоящие имя и фамилию.

Мировая аудитория Skype составляет 560 млн человек. Таким образом, если применить их программу в таком масштабе, то можно вычислить огромное количество нарушителей, что сулит медиакорпорациям большие прибыли. Если сохранится та же пропорция (398 нарушителей на 100 тыс. пользователей), то среди всей аудитории Skype можно рассчитывать на 2,2 млн потенциальных плательщиков штрафа.

Кстати, во время «слежки» за 9500 активными Skype ID выявились и другие интересные факты. Оказалось, что в течение двух недель 40% пользователей хотя бы однажды меняли свой текущий город, а 4% — страну. Среди всех активных пользователей Skype около 20% Skype ID находятся в онлайне 50% времени.

Evooo1Bot превращает роутеры и шлюзы в прокси для киберпреступников

Исследователи из Fortinet обнаружили новый модульный Linux-ботнет Evooo1Bot, созданный на основе Mirai. Зловред атакует доступные из интернета шлюзы и другие сетевые устройства, после чего превращает их в SOCKS5-узлы для ретрансляции чужого трафика.

Как минимум с июля ботнет охотится на оборудование Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare и D-Link, используя известные уязвимости.

Более свежий модуль атакует также камеры Hikvision, серверы Atlassian Confluence, файрволы Zyxel, роутеры TP-Link, NAS-системы D-Link, продукты WSO2, Kubernetes ingress-nginx и уязвимые установки PHP-CGI.

Правда, разработчики Evooo1Bot справились не со всеми эксплойтами: часть из них реализована с ошибками и не приводит к заражению. Но там, где атака удаётся, скрипт загружает одну из 12 сборок под архитектуру процессора устройства и очищает историю Bash, сообщают специалисты.

Evooo1Bot связывается с управляющим сервером по зашифрованному каналу через порт 443. Перед запуском он ищет отладчики, средства защиты, песочницы, виртуальные машины, контейнеры и ханипоты.

Для закрепления зловред использует systemd, SysV init, профили оболочки и rc.local. Задание cron каждые пять минут пытается заново загрузить полезную нагрузку.

Операторы получают интерактивную командную оболочку и возможность передавать файлы. Модуль перехвата данных следит за сетевыми соединениями и пытается похищать заголовки HTTP Basic Authentication и Cookie. SSH-сканер перебирает 150 сочетаний логинов и паролей, а DDoS-движок поддерживает 16 вариантов флуда.

SOCKS5-модуль позволяет открывать несколько параллельных прокси-сеансов, скрывать атаки за адресами жертв и потенциально продавать доступ как резидентские прокси. Владельцам устройств рекомендуют обновить прошивки, заменить стандартные пароли, отключить удалённое администрирование и списать оборудование, которое производитель больше не поддерживает.

RSS: Новости на портале Anti-Malware.ru