В новой версии TDL4 используется механизм генерации доменных имен (DGA)

В очередной версии TDL4 используется механизм генерации доменных имен (DGA)

На днях компания Damballa Inc. опубликовала отчет об исследовании очередной разработки вирусописателей – новой версии вредоносной программы TDSS/TDL4. Ее уникальность заключается в том, что связь между контрольно-командным сервером (C&C) и зараженным компьютером осуществляется посредством метода случайной генерации доменных имен (DGA), а для распространения угрозы злоумышленники используют так называемые click-fraud-атаки.

Как известно, сам руткит TDSS/TDL4 нацелен на загрузочную область жесткого диска, что и так делает его довольно сложным для обнаружения, однако, по мнению исследователей Damballa, применение такой технологии общения между трояном и C&C делает угрозу практически неуязвимой перед сигнатурным и поведенческим анализом или «черными списками».

Эксперт Anti-Malware.ru Валерий Ледовской считает, что поскольку для распространения рассматриваемой модификации TDL4 используется метод DGA, в результате действия которого появляется огоромное количество вредоносных доменов, то обычные способы блокировки вредоносных сайтов не принесут успеха - новые домены появляются на порядок быстрее. «Собственно, используемый в данном исследовании алгоритм Pleiades (Плеяды)», - поясняет эксперт,- «это применение кластерного анализа для выделения подобных вредоносных доменов в кластеры по косвенным признакам, присущим трафику, идущему через подобные сайты. Он позволяет оперативно относить новые домены к уже известным реализациям DGA-алгоритмов, так и автоматически создавать новые кластеры, соответствующие неизвестным реализациям».

При этом Василий Бердников, эксперт Anti-Malware.ru считает, что, наоборот, ничего нового не появилось. Вместо этого довольно давно в сети распространяются последователи TDL4 - SST/PRAGMA и большей частью Pihar.

Тем не менее, согласно отчету, угроза под названием NorthSpiderAngels, была обнаружена в июле 2012 года экспертами Damballa Inc., посредством инструмента собственной разработки, который позволяет регистрировать активность в DGA сети. В ходе работы исследователям удалось обнаружить подозительную активность в сети своего интернет-провайдера. Впоследствии выяснилось, что в результате деятельности DGA в сети было создано некоторое количество доменых имен - NXDomains, которые выполняли роль C&C-хоста, для обнаруженых на компьютерах жертв доменов.

В ходе дальнейшего исследования, с помощью собственной базы DNS, ученым удалось идентифицировать около 418 уникальных доменных имен, отправляющих запросы на C&C. Кроме того эксперты отмечают, что несколько из обнаруженных IP выполняли роль хостов TDSS и TDL4, а также Российской Бизнес-Сетью (Russian Business Network, RBN).

В результате эксперты выявили, что данная угроза уже успела проникнуть посредством click-fraud-атаки на 250 000 компьютеров; среди них оказались машины, установленные в крупнейших компаниях, включенных в список Fortune 500, нескольких правительственных агентствах и у интернет-провайдеров. Кроме этого было идентифицировано 86 C&C-серверов, 26 из которых расположены в России, 15 в Румынии и 12 в Нидерландах. Эксперты также отметили, что наиболее уязвимыми для проведения таких кампаний являются facebook.com; doubleclick.net; youtube.com; yahoo.com; msn.com; google.com.

«В целом, можно сказать, что алгоритм достаточно полезный и мог бы помочь антивирусной индустрии получить ещё один мощный инструмент в борьбе между авторами антивирусов и вирусописателями», - считает г-н Ледовской.

Иран подозревают в подготовке к отключению от глобального интернета

Иран подозревают в подготовке к фактическому отключению от глобального интернета. Власти уже ограничили доступ к ресурсам, не входящим в так называемый «белый список», а также последовательно развивают национальную интрасеть, лишь минимально связанную с внешним миром.

О таких планах иранских властей сообщила газета Guardian со ссылкой на эксперта по цифровым правам Амира Рашиди.

По его словам, в стране уже функционирует внутренняя сеть, практически изолированная от глобального интернета и полностью контролируемая государством. Ее развитие стало частью долгосрочной политики по формированию замкнутой цифровой экосистемы.

Как напоминает Guardian, 8 января интернет в Иране был полностью отключен на фоне протестов, вспыхнувших в конце декабря из-за резкого роста цен, связанного с ослаблением национальной валюты. Лишь 12 января доступ частично восстановили — но только к ресурсам из «белого списка», находящимся под полным контролем властей. В него вошли поисковые сервисы, картографические приложения, одобренные мессенджеры и стриминговый сервис.

По словам Рашиди, наиболее значимым каналом связи с внешним миром остаются спутниковые терминалы Starlink. По разным оценкам, их число в стране может достигать 100 тыс., при этом использование таких терминалов в Иране является бесплатным.

Однако их выявление входит в число приоритетных задач силовых структур. Для поиска терминалов используются беспилотники. С лета прошлого года применение Starlink криминализировано, а владельцам оборудования грозит до 10 лет лишения свободы. Кроме того, стабильная работа спутниковой связи затруднена из-за применения средств радиоэлектронной борьбы. Более-менее устойчиво Starlink работает лишь в отдельных регионах страны. По оценке экспертов, опрошенных Guardian, доступ к нему имеют лишь считанные проценты населения. Другие способы обхода ограничений используют крайне немногие иранцы.

Как отметил Амир Рашиди, работы по созданию изолированной цифровой среды ведутся в Иране уже несколько лет. «Скелет» внутренней сети, по его словам, фактически уже сформирован, а уровень ограничений в ней может оказаться жестче, чем в Китае. По неподтвержденной информации, после подавления протестов жителям страны могут оставить доступ только к этой внутренней сети, с минимальной связью с глобальным интернетом.

В то же время, как сообщило РИА Новости со ссылкой на иранское агентство FARS, полный доступ к интернету в Иране может быть восстановлен в течение одной-двух недель — и в том же объеме, что и до отключения.

«В течение предстоящей недели-двух соответствующими органами будет принято окончательное решение о предоставлении большего доступа к интернету», — говорится в сообщении FARS.

RSS: Новости на портале Anti-Malware.ru