Zues обновился в стиле P2P, в каждом боте стоит nginx

Zues обновился в стиле P2P, в каждом боте стоит nginx

Исследователи из Symantec обнаружили, что в новой версии Zeus/SpyEye рядовые боты могут выступать в качестве командных серверов. Это значительно осложнит нейтрализацию ботнетов, ведь раньше главным методом обезвреживания сети заражённых компьютеров была блокировка C&C-серверов либо перехват управления с помощью подставного C&C-сервера. Кроме того, такой метод пиринговой организации узлов осложняет поиск владельца ботнета и делает бессмысленной работу сервиса Zeustracker.



В целом, данный форк, то есть параллельная версия Zues, действительно впечатляет: авторы использовали несколько новых защитных методов против перехвата управления. Исследователи говорят, что намёки на отказ от простых C&C-серверов в пользу пиринговой модели появились ещё в прошлом билде Zeus в конце 2011 года, передает xakep.ru.

В новом варианте эта линия продолжилась: ботнет использует сеть P2P для сбора информации и повышения выживаемости. Раньше между узлами передавался список C&C-серверов, и в случае потери связи с одним сеть переключалась на следующий в списке. Сейчас же C&C-серверы полностью исчезли из системы: команды напрямую получает один из узлов P2P-сети и распространяет их по сети. Боты научились получать друг от друга команды, конфигурационные файлы, исполняемые файлы. На рисунке показана схема организации в старом и новом вариантах Zeus.

 

Ещё одним интересным новшеством стал частичный переход на коммуникации по UDP, а не по TCP. В прошлой версии использовалось только самодельное UDP-рукопожатие. В случае успеха, боты обменивались конфигурационными файлами и прочим по TCP. Теперь же передача данных тоже идёт по UDP. На скриншотах показан трафик старого и нового вариантов Zeus.

 

 

 Немного усовершенствовалась также система шифрования.

 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Басманный суд заочно арестовал Сергея Мацоцкого по делу о взятке

Басманный суд Москвы заочно арестовал одного из основателей компании IBS, бывшего члена совета директоров Альфа-банка и «Вымпелкома» Сергея Мацоцкого. Решение принято по ходатайству следствия в рамках уголовного дела о даче взятки в особо крупном размере.

Об этом сообщил «Интерфакс». Подробности уголовного дела официально не раскрываются. По оценке телеграм-канала Mash, Мацоцкому может грозить до 15 лет лишения свободы.

«Постановлением Басманного районного суда города Москвы удовлетворено ходатайство органов предварительного расследования об избрании меры пресечения в виде заключения под стражу в отношении Мацоцкого Сергея Савельевича, обвиняемого в совершении преступлений, предусмотренных ч. 5 ст. 291 УК РФ, меру пресечения в виде заключения под стражу на срок 2 месяца с момента его экстрадиции на территорию Российской Федерации либо с момента его задержания на территории Российской Федерации», — говорится в официальном сообщении судов общей юрисдикции Москвы.

Сергей Мацоцкий — один из основателей ИТ-интегратора IBS. В 2020 году он покинул компанию и создал инвестиционный холдинг «ГС-Инвест». Мацоцкого называют одной из влиятельных фигур в российской ИТ-отрасли. Его состояние оценивается в 14,5 млрд рублей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru