Доктор Веб обнаружил ботнет из более чем 550 000 «маков»

«Доктор Веб» обнаружил ботнет из более чем 550 000 «маков»

Специалисты компании «Доктор Веб» провели специальное исследование, позволившее оценить картину распространения троянской программы BackDoor.Flashback, заражающей компьютеры, работающие под управлением операционной системы Mac OS X. Сейчас в ботнете BackDoor.Flashback действует более 550 000 инфицированных рабочих станций, большая часть которых расположена на территории США и Канады. Это в очередной раз опровергает заявления некоторых экспертов об отсутствии угроз для пользователей «маков».



Заражение троянцем BackDoor.Flashback.39 осуществляется с использованием инфицированных сайтов и промежуточных TDS (Traffic Direction System, систем распределения трафика), перенаправляющих пользователей Mac OS X на вредоносный сайт. Таких страниц специалистами «Доктор Веб» было выявлено достаточно много — все они содержат Java-скрипт, загружающий в браузер пользователя Java-апплет, который, в свою очередь, содержит эксплойт. Среди недавно выявленных вредоносных сайтов фигурируют, в частности:

  • godofwar3.rr.nu
  • ironmanvideo.rr.nu
  • killaoftime.rr.nu
  • gangstasparadise.rr.nu
  • mystreamvideo.rr.nu
  • bestustreamtv.rr.nu
  • ustreambesttv.rr.nu
  • ustreamtvonline.rr.nu
  • ustream-tv.rr.nu
  • ustream.rr.nu

По информации из некоторых источников на конец марта в выдаче Google присутствовало более 4 млн. зараженных веб-страниц. Кроме того, на форумах пользователей Apple сообщалось о случаях заражения троянцем BackDoor.Flashback.39 при посещении сайта dlink.com.

Начиная с февраля 2012 года злоумышленники начали использовать для распространения вредоносного ПО уязвимости CVE-2011-3544 и CVE-2008-5353, а после 16 марта они стали применять другой эксплойт (CVE-2012-0507). Исправление для данной уязвимости корпорация Apple выпустила только 3 апреля 2012 года.

Эксплойт сохраняет на жесткий диск инфицируемого «мака» исполняемый файл, предназначенный для скачивания полезной нагрузки с удаленных управляющих серверов и ее последующего запуска. Специалистами «Доктор Веб» было выявлено две версии троянца: приблизительно с 1 апреля злоумышленники стали использовать модифицированный вариант BackDoor.Flashback.39. Как и в предыдущих версиях, после запуска вредоносная программа проверяет наличие на жестком диске следующих компонентов:

  • /Library/Little Snitch
  • /Developer/Applications/Xcode.app/Contents/MacOS/Xcode
  • /Applications/VirusBarrier X6.app
  • /Applications/iAntiVirus/iAntiVirus.app
  • /Applications/avast!.app
  • /Applications/ClamXav.app
  • /Applications/HTTPScoop.app
  • /Applications/Packet Peeper.app

Если указанные файлы обнаружить не удалось, то троянец формирует по определенному алгоритму список управляющих серверов, отсылает сообщение об успешной установке на созданный злоумышленниками сервер статистики и выполняет последовательный опрос командных центров.

Следует отметить, что вредоносная программа использует весьма интересный механизм генерации адресов управляющих серверов, позволяющий в случае необходимости динамически перераспределять нагрузку между ними, переключаясь от одного командного центра к другому. Получив ответ управляющего сервера, BackDoor.Flashback.39 проверяет переданное с командного центра сообщение на соответствие подписи RSA, а затем, если проверка оказывается успешной, загружает и запускает на инфицированной машине полезную нагрузку, в качестве которой может выступать любой исполняемый файл, указанный в полученной троянцем директиве.

Каждый из ботов передает управляющему серверу в строке запроса уникальный идентификатор инфицированного компьютера. С использованием метода sinkhole специалистам компании «Доктор Веб» удалось перенаправить трафик ботнета на собственные серверы, что позволило осуществить подсчет инфицированных узлов.

На 4 апреля в бот-сети действует более 550 000 инфицированных компьютеров, работающих под управлением операционной системы Mac OS X. При этом речь идет только о некоторой части ботнета, использующей данную модификацию троянца BackDoor.Flashback. Большая часть заражений приходится на долю США (56,6%, или 303449 инфицированных узлов), на втором месте находится Канада (19,8%, или 106379 инфицированных компьютеров), третье место занимает Великобритания (12,8%, или 68577 случаев заражения), на четвертой позиции — Австралия с показателем 6,1% (32527 инфицированных узлов).

Для того чтобы обезопасить свои компьютеры от возможности проникновения троянца BackDoor.Flashback.39 специалисты компании «Доктор Веб» рекомендуют пользователям Mac OS X загрузить и установить предлагаемое корпорацией Apple обновление безопасности: support.apple.com/kb/HT5228.

В Петербурге пройдет «АВИАЦИФРА’2026» о цифровизации авиастроения

18–20 марта 2026 года в Санкт-Петербурге состоится вторая ежегодная отраслевая конференция «АВИАЦИФРА’2026», посвящённая цифровым трендам и технологиям в авиастроении. Мероприятие станет международной площадкой для профессионального общения ИТ-специалистов и заказчиков цифровых решений из авиастроительных предприятий, авиакомпаний, аэропортов, органов власти и профильных ИТ-поставщиков.

«АВИАЦИФРА’2026» позиционируется как практическая конференция с фокусом не на концепциях ради концепций, а на поиске прикладных решений, которые помогают повышать эффективность отрасли и снижать технологическую зависимость.

Основная деловая программа запланирована на 19 и 20 марта. Она будет построена вокруг пяти ключевых направлений, охватывающих практически весь жизненный цикл воздушного судна:

  • управление цифровыми технологиями;
  • проектирование авиационной техники;
  • производство авиационной техники;
  • эксплуатация авиационной техники;
  • ИТ-инфраструктура и кибербезопасность.

Отдельный акцент в программе сделают на сквозном треке «Цифровая кооперация». Его задача — обсудить, как уйти от разрозненных ИТ-подходов и выстроить связную цифровую среду между всеми участниками производственной цепочки. В центре внимания — концепция «цифровой нити», которая объединяет данные от стадии проектирования до многолетней эксплуатации и позволяет лучше управлять процессами и прогнозировать результаты.

20 марта в рамках конференции пройдёт тематический день ИЦК Авиастроение, ИЦК Двигателестроение и ИЦК БАС. Участникам представят результаты работы индустриальных центров компетенций и практические итоги реализации особо значимых проектов в отрасли.

Кроме того, на полях «АВИАЦИФРЫ’2026» запланированы внутренние стратегические сессии холдинговых компаний авиастроительного комплекса.

Организаторы делают ставку на высокий экспертный уровень дискуссий. В роли модераторов и ключевых спикеров выступят представители центральных офисов и предприятий авиастроительной отрасли — технические директора и руководители по цифровой трансформации крупных холдингов, включая ОДК, ОАК, «Вертолеты России», «Технодинамику», а также главные конструкторы, руководители профильных направлений и представители научных и образовательных центров.

Для сравнения: в конференции «АВИАЦИФРА’2025», которая прошла в Казани, приняли участие более 500 специалистов из 90 организаций, а программа включала 110 докладов по ключевым направлениям цифрового развития авиастроения.

«АВИАЦИФРА’2026» продолжит эту линию, делая упор на прикладной опыт, межотраслевую кооперацию и обсуждение реальных задач цифровизации авиационной промышленности.

RSS: Новости на портале Anti-Malware.ru