Обнаружен ботнет Skynet с управлением через анонимную сеть TOR

Специалисты по сетевой безопасности из компании Rapid7 обнаружили, возможно, один из первых ботнетов, в котором связь зараженных машин с управляющим сервером выполнялась с помощью технологии TOR, обеспечивающей анонимный доступ к Интернету.

Первооткрыватели ботнета, получившего название Skynet, как искусственный интеллект в фильмах про Терминатора, предупредили, что в ближайшее время эту практику могут взять на вооружение и другие ботнеты, что сильно затруднит обнаружение и нейтрализацию их управляющих серверов.

Технология TOR, о которой мы не раз писали, была создана военными специалистами США в расчете на то, что с ее помощью подвергаемые гонениям активисты в странах с тоталитарными режимами смогут беспрепятственно общаться со своими единомышленниками и соратниками по подрывной работе против государства. Многоуровневая анонимизация в сети TOR почти исключает возможность перехвата и прослушки сообщений. Кроме того, через сеть TOR-ретрансляторов в странах с фильтрацией Интернета можно получать доступ к любым закрытым ресурсам за счет использования «выходных TOR-узлов» в странах с менее жестким режимом доступа. По прошествии времени выяснилось, что технология TOR открыла настоящий ящик Пандоры не только для правозащитников, но и для настоящих киберпреступников, сообщает soft.mail.ru.

Обнаруженный ботнет Skynet, по данным исследователей, представляет собой настоящий многофункциональный комбайн. В частности, Skynet поддерживает организацию распределенных атак на отказ в обслуживании (DDoS), генерацию виртуальной валюты Bitcoin с использованием вычислительных ресурсов графического процессора на зараженных машинах, исполнение произвольного кода по команде оператора, а также похищение реквизитов для доступа к веб-сайтам и банковским счетам пострадавших. Главное же отличие Skynet заключается в том, что доступ к его серверам управления возможен только через сеть TOR по протоколу Tor Hidden Service.

Традиционно протокол Tor Hidden Service используется для анонимного доступа к обычным веб-сайтам, а также к чат-серверам IRC и некоторым другим сервисам, включая удаленное управление по протоколу SSH (Secure Shell). Адрес такого сервиса выглядит как случайная последовательность символов с расширением .onion в качестве псевдо-домена верхнего уровня. По мнению представителей компании Rapid7, на данный момент не существует способов отследить и нейтрализовать управляющие серверы ботнета, скрытые с помощью протокола TOR Hidden Service.

По оценкам компании Rapid7 сейчас ботнет Skynet охватывает около 12-15 тысяч зараженных компьютеров. За семь месяцев, прошедших после обнаружения первых признаков этого ботнета, число пораженных машин увеличилось почти на 50 %. В состав ботнет-клиента, который устанавливается на машину жертвы, входит специальный бот с управлением через IRC-чат (этот бот умеет запускать несколько типов DDoS-атак и других действий), собственный TOR-клиент для Windows, модуль для «добычи» Bitcoin-валюты (путем сложных расчетов на графическом процессоре), а также специальная версия известного троянца Zeus с возможностью внедрения в браузер и кражи пользовательских данных для доступа к веб-сайтам и банковским счетам. Несмотря на то, что сеть TOR имеет ряд недостатков, включая большие задержки и невысокую пропускную способность, для передачи команд узлам ботнета этого вполне достаточно, как при запуске DDoS-атаки.

Еще один примечательный факт – каждый зараженный компьютер в ботнете Skynet сам становится TOR-ретранслятором, что делает сеть TOR еще более крупной и устойчивой к нагрузкам, а вместе с ней более устойчивым становится и работающий через нее ботнет.

По мнению специалистов из антивирусных компаний Bitdefender и «Лаборатория Касперского», ботнеты с управлением через TOR не являются такими уж неуязвимыми. Есть средства для борьбы с таким угрозами и на уровне интернет-провайдеров в виде блокирования трафика от всех известных выходных TOR-узлов. С другой стороны, это в итоге может разрушить сам исходный замысел системы TOR, где выходные узлы, теоретически, должны поддерживаться добровольцами в «свободных странах», чтобы оказывать услуги анонимности своим менее удачливыми коллегам, ищущим защиты от преследований.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Ростелеком-Солар и R-Vision автоматизируют реагирование на инциденты

«Ростелеком-Солар» и R-Vision запускают уникальную услугу по автоматизации реагирования на инциденты на стороне заказчиков. Совместное решение на базе платформы R-Vision IRP (Incident Response Platform) прорабатывалось больше года и сегодня доступно клиентам центра мониторинга и реагирования на киберугрозы Solar JSOC. В отличие от других подобных предложений, сервис предоставляет обширный набор готовых динамически обновляемых сценариев реагирования с разделением зон ответственности. Таким образом, реагирование становится более оперативным и эффективным.

В 90% случаев клиенты центров мониторинга и реагирования на киберугрозы предпочитают осуществлять техническое противодействие компьютерным атакам самостоятельно, силами служб ИБ и ИТ организации. Скорость и слаженность их работы критически важна для предотвращения ущерба от действий киберпреступника – наравне с оперативностью и точностью детектирования атаки. IRP-сервис от Solar JSOC помогает заказчикам упростить и сократить цикл реагирования в компании, а также минимизировать нагрузку на ИБ-специалистов за счет автоматизации ряда задач. Клиент получает готовый инструмент для управления инцидентами из единого окна с возможностью сквозного контроля за действиями как сервис-провайдера, так и внутренней ИБ-службы. Появляется возможность видеть в реальном времени: необходимые этапы реагирования с распределением ролей ответственных, статусы и сроки выполнения каждого из этапов.

Подключение к сервису происходит в течение 2-4 недель. В результате в распоряжении клиента оказывается обширная база регулярно обновляемых сценариев реагирования на инциденты (плейбуков) от экспертов Solar JSOC. При этом благодаря максимально подробной и понятной инструкции реализовать процессы реагирования смогут даже специалисты, не имеющие глубоких профильных знаний в информационной безопасности. За счет этого снижается влияние человеческого фактора.

«В рамках нового сервиса клиентам Solar JSOC становятся доступны передовые инструменты для реагирования на инциденты, усиленные уникальной экспертизой специалистов «Ростелеком-Солар». Предоставление продуктов на основе сервисной модели – одно из приоритетных для нас направлений. Такая модель требует тесного сотрудничества с сервис-провайдером и предъявляет дополнительные требования к функциональным возможностям и гибкости продукта, чтобы заказчик в итоге получил высококачественную услугу, – отметил Игорь Сметанев, коммерческий директор R-Vision. – С «Ростелеком-Солар» мы сотрудничаем давно: некоторые заказчики нашей платформы IRP используют услуги JSOC по мониторингу и реагированию на инциденты, и в продукте была реализована соответствующая интеграция. Новый сервис от JSOC – это очередная ступень нашего как технологического, так и коммерческого партнерства».

Для реализации нового сервиса R-Vision IRP была оснащена дополнительными возможностями, а также были адаптированы внутренние процессы Solar JSOC. Специалисты «Ростелеком-Солар» и R-Vision интегрировали платформу в цикл управления инцидентами Solar JSOC и настроили взаимодействие между внутренней IRP сервис-провайдера и клиентской частью на базе R-Vision IRP. Теперь благодаря централизованному управлению сценариями клиенты смогут получать новые плейбуки в день их разработки на стороне Solar JSOC – порядка 20 сценариев в квартал.

«Реагирование на инциденты переходит в новую фазу развития. Все чаще поток инцидентов таков, что заказчики уже не справляются с «ручным» управлением. В таких условиях от внешнего SOC требуется прямое взаимодействие с ИТ- и бизнес-подразделениями клиента, снабжение их понятными управляемыми инструкциями. В лице R-Vision мы нашли зрелого технологического партнера, который не только предоставил платформу для воплощения и автоматизации наших 8-летних наработок по реагированию, но и разделяет наше стратегическое видение развития данного направления», – комментирует Владимир Дрюков, директор центра мониторинга и реагирования на киберугрозы Solar JSOC компании «Ростелеком-Солар».

Решение может быть предоставлено как в сервисной модели полного цикла (включая аренду лицензий и поддержание работоспособности выделенной под заказчика платформы), так и в гибридном варианте, когда к сервису подключается уже существующая у заказчика платформа R-Vision IRP. Это позволяет клиентам выбрать оптимальный для себя формат бюджетирования и управления стоимостью услуги без жестких ограничений со стороны сервис-провайдера.

На сегодня «Ростелеком-Солар» и R-Vision уже ведут совместные проекты внедрения сервиса IRP для нескольких крупных федеральных компаний из коммерческого и государственного сектора, что позволяет подтвердить эффективность совместного подхода к построению процесса управления инцидентами.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru