Microsoft и Symantec вместе закрыли крупный ботнет Bamital

Совместная операция компаний Microsoft и Symantec завершилась обнаружением и закрытием одного из крупных ботнетов (сеть зараженных машин, исполняющих команды злоумышленника) под названием Bamital. Сотни тысяч машин, вовлеченных в этот ботнет, приносили группе операторов из 18 человек доход в размере более 1 млн. долл. за год. Нынешний случай уникален тем, что впервые за историю закрытия ботнетов производители выпустили специальные инструменты, которые помогают пострадавшим пользователям устранить проблему.

По имеющимся данным, после закрытия ботнета зараженные компьютеры потеряли доступ к поисковым сервисам в Интернете. Ботнет Bamital стал уже шестым с 2010 года, на закрытие которого компания Microsoft получила судебное решение. Кроме того, это второй случай совместной работы Microsoft и Symantec по закрытию ботнета. Масштаб закрытого ботнета показался поистине глобальным.

Принцип работы ботнета Bamital заключался в перенаправлении браузеров со ссылок, которые щелкали пользователи в выдаче поисковых сайтов Google, Bing и Yahoo. Вместо нужных веб-сайтов пользователи попадали на поддельные сайты, подконтрольные операторам ботнета. В отличие от различных «тулбаров» (вроде Ask и Conduit), которые не влияют на результаты поиска, ботнет буквально подменял ссылки в выдаче, сообщает soft.mail.ru.

По данным новостного агентства Рейтерс, ботнет Bamital приносил своим владельцам солидные доходы — не мене миллиона долларов в год. Компания Symantec более года назад обратилась к Microsoft за помощью в закрытии ботнета. По данным Symantec, Это был довольно средний по масштабам ботнет — от 300 до 600 тыс. зараженных ПК — его закрытие было сопряжено с большими трудностями.

За время наблюдения ботнет претерпел немало изменений. Целый год ушел на сбор надежных доказательств того, что конечным пользователям был нанесен значительный ущерб. Постоянное внесение изменений и оптимизация ботнета сильно затрудняли наблюдение и сбор улик.

Еще одна интересная особенность: в случае с Bamital выяснилось, что преступники вынуждены постоянно переносить свои серверы из одного места в другое. В то же время, несмотря на растущую квалификацию преступников, актуальные изменения в законодательстве и тесное сотрудничество компаний типа Microsoft и Symantec обещают значительно уменьшить число и эффективность ботнетов.

Представители компаний Microsoft и Symantec подчеркивают, что это первый случай, когда удалось не только предупредить провайдеров и пользователей об опасности, но и создать инструменты для борьбы с ботнетом на местах. При попытке поиска с зараженных ПК пользователям выдавалась официальная страница, где можно найти подробные и понятные инструкции по удалению вируса, причем без ограничений по выбору конкретного антивируса. Похожую страницу создала национальная служба Нидерландов по борьбе с кибер-преступностью в 2010 при закрытии ботнета Bredolab, но в тот раз пользователям не предлагались инструменты для уничтожения вируса.

Кроме прямой помощи по удалению вирусов, компания Microsoft сделала еще один нестандартный ход, указав на веб-странице псевдонимы, адреса эл. почты, почтовые адреса и телефонные номера всех подозреваемых в создании и использовании ботнета. Хотя все 18 операторов ботнета Bamital на момент закрытия находились в разных странах мира, представители отдела Microsoft по борьбе с электронными преступлениями (Digital Crimes Unit) рассказали, что ботнет имеет российские корни, на что указывает некая фраза на русском языке в одной из меток cookie, которую использовал ботнет.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Освободившиеся телефонные номера открывают дверь для взлома аккаунтов

Новое исследование специалистов заостряет внимание на рисках безопасности и конфиденциальности пользователей при повторном использовании телефонных номеров. По словам экспертов, такая практика может привести к фишинговым и спамерским атакам, а также к взлому учётных записей.

В ходе анализа исследователи обнаружили, что 66% номеров телефона, заново введённых в эксплуатацию, так или иначе связаны с предыдущими владельцами. Это могут быть аккаунты в соцсетях и на других сайтах, где пользователь указывал свой телефон при регистрации.

«Атакующий может просмотреть доступные телефонные номера, указанные на странице смены номера. Затем он может проверить, связаны ли эти телефоны с аккаунтами предыдущих владельцев», — пишут специалисты.

В результате, как отметили исследователи, злоумышленник может сбросить пароль от учётной записи экс-владельца номера телефона, успешно перехватив одноразовый пароль (one time password, OTP), отправленный в СМС-сообщении.

В общей сложности эксперты Принстонского университета проанализировали 259 телефонных номеров, доступных новым абонентам операторов сотовой связи. 100 таких номеров оказались связаны с почтовыми ящиками предыдущих владельцев, уже становившихся жертвами утечек данных.

Более того, специалисты отметили, что с помощью освободившихся номеров телефона атакующие могут выдавать себя за пользователей, взламывать аккаунты клиентов операторов связи и даже осуществлять DoS-атаки.

В целом новое исследование в очередной раз демонстрирует, насколько рискованной может быть аутентификация через СМС-сообщения. В случае успешной эксплуатации описанного экспертами метода злоумышленник может взломать даже те аккаунты, которые пользователь защитил с помощью 2FA.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru