Бот-сеть на 600000 Apple Mac постепенно рушится

Бот-сеть на 600000 Apple Mac постепенно рушится

Корпорация Symantec сообщает о сокращении количества заражений OSX.Flashback. Ранее сообщалось, что была создана бот-сеть, которая включает более 600000 компьютеров Mac, однако по последним данным их число сократилось до 270000. Считается, что данная сеть смогла достичь такого масштаба за счет использования уязвимостей Oracle Java SE Remote Java Runtime Environment Denial Of Service (CVE-2012-0507, BID 51261), массово распространяя эксплойты.

Устройства фирмы Apple, которые ошибочно считаются неуязвимыми, в последнее время все чаще подвергаются атакам злоумышленников. OSX.Flashback появился в конце 2011 года и длительное время распространялся благодаря приемам социальной инженерии, стараясь проникнуть на компьютеры как фальшивое обновление Flash. Данная программа использовала цифровые сертификаты, сообщающие о том, что ПО разработано компанией Apple. Сейчас для запуска загрузки Flashback использует последнюю уязвимость Java. 

Авторы вредоносной программы некоторое время предпринимали атаки на Mac OS, поэтому недавние инфекции OSX.Flashback.K показали серьезное смещение общего тренда, по которому существенно доминировали атаки на ОС Windows. Однако количество зараженных компьютеров значительно сократилось, и по данным компании Symantec всего за сутки 10-11 апреля уменьшилось с 380 000 до 270 000.

 

Текущий уровень распространения Flashback отражен на карте, которая демонстрирует самый высокий уровень распространения трояна в Северной Америке, Австралии и Великобритании.

 

OSX.Flashback.K использует генератор имен доменов (DNG), который позволяет ему создавать новый домен каждый день, чтобы сохранять связь с сервером C&C. Иллюстрация показывает, какие домены были использованы на протяжении нескольких дней. Они уже отслеживаются Symantec Security Response.

 

Также удалось установить несколько определенных IP-адресов, использованных для распространения варианта OSX.Flashback.K.

 

Существуют домены в зоне “.com”, зарегистрированные 26 марта и 4 апреля. Эти даты совпадают с подготовкой к последней атаке Flashback. Данные IP-адреса непосредственно размещали эксплойт (CVE-2012-0507), помогая устанавливать OSX.Flashback.K. Они обслуживали дополнительные загрузки и записывали статистические данные, которые Flashback отсылает на сервер. Хотя эти IP-адреса больше не обслуживают вредоносный контент, связанный с OSX.Flashback.K, специалисты Symantec тщательно следят за ситуацией на случай, если группировка Flashback решит расширить поле деятельности.

Компания Apple выпустила патч, исправляющий ошибки безопасности Java для систем OS X v10.7 и Mac OS X v10.6. Более старые системы (v10.5 и ранее) остаются уязвимыми, и согласно официальной позиции Apple в данном случае нужно отключить Java для предотвращения заражения. Если процедура обновления еще не произошла, рекомендуется вручную скачать и установить патч, чтобы защитить свою ОС от возможных атак.

Касперская объяснила, почему борьба с VPN только раззадорит разработчиков

Наталья Касперская, сооснователь «Лаборатории Касперского» и президент ГК InfoWatch, раскритиковала попытки ограничивать VPN и сетевой трафик в России. По её словам, такие меры не только малоэффективны, но и могут ухудшать работу интернета в целом.

Главный аргумент — поведение самих разработчиков. Это технически подкованные пользователи, которые не будут обращаться за разрешениями или ждать инструкций, а просто найдут способ обойти ограничения.

Касперская привела в своём телеграм-канале показательный пример: в одной из её компаний Роскомнадзор по ошибке заблокировал публичный сервис. На восстановление доступа у сотрудников ушло около 20 минут — они просто настроили обход через VPN.

По её словам, именно так ситуация и будет развиваться: разработчики не станут регистрировать свои VPN или пытаться попасть в «белые списки», а будут поднимать собственные решения. В стране таких специалистов около миллиона, и у многих из них есть «спортивный интерес» обходить ограничения.

Отдельная проблема — работа с зарубежными сервисами. Многие из них ограничивают доступ с российских IP-адресов, включая популярные ИИ-модели. Поэтому разработчики и так вынуждены использовать VPN, причём часто не корпоративные, а собственные.

Касперская также отмечает, что полностью заблокировать VPN технически невозможно. Такие технологии используются уже десятки лет и тесно переплетены с базовыми интернет-протоколами. Попытки их фильтрации через DPI могут приводить к сбоям и ложным срабатываниям — например, затрагивать обычный HTTPS-трафик.

Кроме того, доступ к «разрешённым» VPN сейчас есть лишь у небольшой части компаний. По словам Касперской, речь идёт примерно о 1,5 тыс. организаций при общем количестве в несколько миллионов.

В итоге ограничения, по её мнению, бьют не только по обходу блокировок, но и по обычным пользователям; в том числе тем, кто находится за границей и сталкивается с проблемами доступа к российским сервисам.

В более широком смысле Касперская считает, что такие вопросы нельзя решить только техническими методами. Ограничение доступа к контенту и платформам — это социальная и политическая задача. И попытки «закрыть всё технологиями» часто приводят к обратному эффекту: пользователи просто находят новые способы обхода.

Ранее в этом месяце Наталья Касперская извинилась перед Роскомнадзором за свой пост о причинах масштабного сбоя, который 3 апреля затронул банковские сервисы и СБП.

RSS: Новости на портале Anti-Malware.ru