Microsoft и Symantec вместе закрыли крупный ботнет Bamital

Совместная операция компаний Microsoft и Symantec завершилась обнаружением и закрытием одного из крупных ботнетов (сеть зараженных машин, исполняющих команды злоумышленника) под названием Bamital. Сотни тысяч машин, вовлеченных в этот ботнет, приносили группе операторов из 18 человек доход в размере более 1 млн. долл. за год. Нынешний случай уникален тем, что впервые за историю закрытия ботнетов производители выпустили специальные инструменты, которые помогают пострадавшим пользователям устранить проблему.

По имеющимся данным, после закрытия ботнета зараженные компьютеры потеряли доступ к поисковым сервисам в Интернете. Ботнет Bamital стал уже шестым с 2010 года, на закрытие которого компания Microsoft получила судебное решение. Кроме того, это второй случай совместной работы Microsoft и Symantec по закрытию ботнета. Масштаб закрытого ботнета показался поистине глобальным.

Принцип работы ботнета Bamital заключался в перенаправлении браузеров со ссылок, которые щелкали пользователи в выдаче поисковых сайтов Google, Bing и Yahoo. Вместо нужных веб-сайтов пользователи попадали на поддельные сайты, подконтрольные операторам ботнета. В отличие от различных «тулбаров» (вроде Ask и Conduit), которые не влияют на результаты поиска, ботнет буквально подменял ссылки в выдаче, сообщает soft.mail.ru.

По данным новостного агентства Рейтерс, ботнет Bamital приносил своим владельцам солидные доходы — не мене миллиона долларов в год. Компания Symantec более года назад обратилась к Microsoft за помощью в закрытии ботнета. По данным Symantec, Это был довольно средний по масштабам ботнет — от 300 до 600 тыс. зараженных ПК — его закрытие было сопряжено с большими трудностями.

За время наблюдения ботнет претерпел немало изменений. Целый год ушел на сбор надежных доказательств того, что конечным пользователям был нанесен значительный ущерб. Постоянное внесение изменений и оптимизация ботнета сильно затрудняли наблюдение и сбор улик.

Еще одна интересная особенность: в случае с Bamital выяснилось, что преступники вынуждены постоянно переносить свои серверы из одного места в другое. В то же время, несмотря на растущую квалификацию преступников, актуальные изменения в законодательстве и тесное сотрудничество компаний типа Microsoft и Symantec обещают значительно уменьшить число и эффективность ботнетов.

Представители компаний Microsoft и Symantec подчеркивают, что это первый случай, когда удалось не только предупредить провайдеров и пользователей об опасности, но и создать инструменты для борьбы с ботнетом на местах. При попытке поиска с зараженных ПК пользователям выдавалась официальная страница, где можно найти подробные и понятные инструкции по удалению вируса, причем без ограничений по выбору конкретного антивируса. Похожую страницу создала национальная служба Нидерландов по борьбе с кибер-преступностью в 2010 при закрытии ботнета Bredolab, но в тот раз пользователям не предлагались инструменты для уничтожения вируса.

Кроме прямой помощи по удалению вирусов, компания Microsoft сделала еще один нестандартный ход, указав на веб-странице псевдонимы, адреса эл. почты, почтовые адреса и телефонные номера всех подозреваемых в создании и использовании ботнета. Хотя все 18 операторов ботнета Bamital на момент закрытия находились в разных странах мира, представители отдела Microsoft по борьбе с электронными преступлениями (Digital Crimes Unit) рассказали, что ботнет имеет российские корни, на что указывает некая фраза на русском языке в одной из меток cookie, которую использовал ботнет.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Symantec: Российские хакеры взломали инфраструктуру иранских хакеров

Антивирусная компания Symantec опубликовала отчет, согласно которому известная российская киберпреступная группа взломала инфраструктуру такой же киберпреступной группы, но уже из Ирана. Инцидент произошел в 2017 году.

Речь идет о группировке, известной под именем Turla, ее деятельность связывают с российским правительством. Инцидент, о котором пишет Symantec, произошел в 2017 году.

Turla — очень узнаваемое имя в сфере кибербезопасности, на счету группировки многие серьезные операции в цифровом пространстве. Например, представители этой группы разработали один из самых сложных бэкдоров, который используется для атак email-серверов Microsoft Exchange.

Также именно Turla принадлежит разработка хитроумной вредоносной программы, которая получала команды через комментарии к постам в инстаграме Бритни Спирс.

Согласно отчету Symantec, в ноябре 2017 года Turla сумела проникнуть в инфраструктуру иранской киберпреступной группировки APT34 (другие названия — Oilrig и Crambus). Далее Turla использовала серверы C&C, принадлежащие APT34, для установки вредоносных программ на компьютеры, где уже имелись инструменты для взлома, принадлежащие Oilrig.

Судя по всему, операторы APT34 не заподозрили ничего плохого, пропустив момент взлома своей инфраструктуры.

Напомним, что на днях Symantec заявила, что данные, якобы украденные хакерами у антивирусной компании, оказались фейковыми инструментами для тестирования продуктов.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru