Sophos о результатах эволюции ZeroAccess

Sophos о результатах эволюции ZeroAccess

Sophos подытожила последние нововведения авторов ZeroAccess. По оценке компании, популяция этого зловреда в настоящее время составляет порядка 1 млн. Более половины активных ботов функционируют на территории США.

Руткит ZeroAccess появился в Сети несколько лет назад и в настоящее время, по оценке экспертов, является одной из самых распространенных Windows-угроз. Главная цель зловреда, поддерживающего как 32-, так и 64-битные версии ОС Windows, ― приобщить зараженную машину к р2р-ботнету и создать площадку для загрузки дополнительных модулей. Авторы ZeroAccess постоянно совершенствуют свое детище, расширяя его функционал и набор средств самозащиты, пишет securelist.com.

Новейшая версия ZeroAccess, которая, по наблюдениям Sophos, постепенно замещает все предыдущие, работает исключительно в режиме пользователя. Ранее этот зловред использовал 2 руткит-компонента: под 32-битной ОС ― режима ядра, под 64-битной ― режима пользователя. После обновления ZeroAccess во всех случаях ведет себя одинаково: внедряет dll в адресное пространство services.exe и explorer.exe и реализует весь деструктивный функционал в рамках этих процессов. Он больше не переписывает драйвер Windows, чтобы гарантировать автозапуск при каждой загрузке системы, но использует для этого системный реестр. Эксперты полагают, что унификация ZeroAccess вызвана двумя причинами: повышенным вниманием со стороны security-компаний и ростом популярности 64-битных платформ: с их распространением поддержка сложного руткит-компонента, работающего только в 32-битной версии, становится нерентабельной.

Претерпел изменения и р2р-протокол, который используют боты ZeroAccess. Если раньше обмен между пирами производился исключительно по TCP-каналам, то теперь новый бот запрашивает список IP-адресов по UDP, а список файлов (плагинов) ― по ТСР на том же порту. В последнем случае новобранец уже не использует команду getF, как ранее, а отсылает зашифрованную информацию о своих файлах (имя, размер и время создания). В лаконичной системе команд, которыми обмениваются боты, появилась еще одна ― newL, она позволяет быстро распространить новые адреса пиров по бот-сети.

Чтобы повысить жизнестойкость ботнета и защитить его от перехвата, вирусописатели ввели строгий лимит на число адресов, которые может считывать бот-получатель из присланного списка. Каждый бот ZeroAccess хранит до 256 записей в локальном списке пиров, но, получая информацию с другого узла, он сможет сверить лишь 16 пар IP/метка времени. Более того, изменилось само значение временного маркера. В новом варианте записи указывается не время предыдущего подключения, как было ранее, а период между предшествующим и текущим контактами.

Распространяется обновленный ZeroAccess прежними методами: через PPI-партнерки, с помощью эксплойт-паков (Sakura, Jupiter, Blackhole) и социального инжиниринга ― под видом кейгенов, «кряков» и инсталляторов к играм. Со времени обнаружения новой версии зловреда Sophos зафиксировала свыше 9 млн. инсталляций. В настоящее время эксперты различают 2 бот-сети, построенных на его основе, причем каждая использует 32-битную и 64-битную версии. Все 4 варианта ботнета работают автономно, так как внутренний обмен в каждом осуществляется на своем порту, жестко прописанном в коде ботов.

Общее число активных заражений ZeroAccess в конце августа составляло около 1 миллиона. Его присутствие обнаружено в 198 странах, причем 55% этих IP-адресов прописаны в США, 6% ― в Канаде, 4% в Великобритании, по 3% в Германии и Турции, по 2% в Испании, Франции, Италии, Австралии и Японии. Судя по набору плагинов, вся эта интернациональная армия используется ботоводами для накрутки кликов (click fraud) и генерации Bitcoin'ов. С учетом совокупного потенциала ZeroAccess должен приносить своим хозяевам неплохой доход ― по оценке экспертов, свыше 100 тыс. долл. в сутки, если все боты активны.

Холдинг Т1 ведет переговоры по покупке части акций ГК Астра

Мажоритарный акционер ГК «Астра» Денис Фролов ведёт переговоры о продаже 10–15% акций компании. Наиболее вероятным покупателем участники рынка называют холдинг «Т1». В общей сложности Денису Фролову принадлежит около 63% акций ГК «Астра», при этом часть пакета находится в залоге у банка ВТБ.

По мнению участников рынка, возможная продажа может быть связана с инвестициями в новый бизнес или необходимостью погашения долговых обязательств.

О переговорах по продаже пакета акций ГК «Астра» сообщают «Ведомости» со ссылкой как минимум на три источника на ИТ-рынке. По их данным, на продажу может быть выставлен пакет в 10–15% акций группы. Наиболее вероятным покупателем источники называют холдинг «Т1».

В самой ГК «Астра» изданию заявили, что «слухи не комментируют». При этом в компании отметили, что регулярно ведут переговоры с различными потенциальными инвесторами в рамках стратегии привлечения внешних инвестиций. Однако, по словам представителей ГК «Астра», благодаря хорошим финансовым показателям, отсутствию долговой нагрузки и стабильной прибыли необходимости во внешнем финансировании сейчас нет.

«Технологические коллаборации и партнёрства – часть нашей стратегии развития, и мы постоянно рассматриваем рынок на предмет интересных технологий. Сейчас сделок в работе на финальной стадии нет», – прокомментировали в «Т1».

По оценке аналитика «Финама» Леонида Делицина, стоимость пакета в 10–15% акций ГК «Астра» может составлять 6–9 млрд рублей. Для «Т1» приобретение доли в компании, решения которой используются в проектах цифровой трансформации, может дать дополнительное преимущество при участии в закупках и распределении госзаказов. Для Дениса Фролова, по мнению аналитика, продажа части пакета может стать способом вложиться в другой бизнес, сохранив при этом контроль над ГК «Астра».

Как отметил генеральный директор ГК «Астра» Илья Сивцев в интервью «Ведомостям», Денису Фролову принадлежит 62% акций группы. Общая капитализация ГК «Астра» составляет 59 млрд рублей. По словам Ильи Сивцева, сама группа пакеты акций не продаёт и не планирует этого делать, однако продажа со стороны акционеров не исключена.

Как напоминают «Ведомости», ранее уже появлялась информация о возможном интересе к покупке пакетов акций ГК «Астра», однако её опровергали.

RSS: Новости на портале Anti-Malware.ru