DDoS-шантаж стал новым видом киберпреступлений

DDoS-шантаж стал новым видом киберпреступлений

В вышедшем на днях отчете компании — поставщика решений в области информационной безопасности McAfee Labs за III квартал 2009 года говорится, что в прошедшие три месяца было зарегистирировано значительное количество DDoS-атак на сайты компаний, в том числе таких, за прекращение которых требовали выкуп.

DDoS-атаки — разновидность хакерских атак. Словосочетание, имеющее аббревиатуру DDoS, переводится как «распределенный отказ обслуживания». Цель атаки не в том, чтобы проникнуть в систему, а в том, чтобы парализовать ее работу.

Например, согласно отчету McAfee Labs, в III квартале четыре австралийские букмекерские компании — Sportingbet Australia, Sportsbet, Sports Alive, Betchoice — были отключены во время главных спортивных событий, таких как финал по футболу и регби, что причинило им многомиллионные потери.

Безусловно, атаки, сопровождавшиеся шантажом, имело место и ранее. Так, сайт Multibet подвергся 24 атакам прежде, чем на менеджеры компании получили письмо с требованием перевести 20 тысяч долларов на банковский счет в Латвии. В июне 2008 года владелец крупной токийской фирмы заплатил около 15500 фунтов стерлингов, после того как его сайт был парализован DDoS-атакой. Однако в этом году доля таких ситуаций значительно выросла.

По словам экспертов, российские компании также подвергаются шантажу со стороны киберпреступников. В первую очередь это информационные, букмекерские, он-лайн магазины, которые объединяет то, что все они работают с онлайн-платежами.

 

Откупиться проще, чем поймать

Чаще всего компании в случае, если речь идет о шантаже, предпочитают откупаться — это дешевле. Ведущий консультант McAfee в России и СНГ Рамиль Яфизов в интервью BFM.ru привел такой пример: хакеры атаковали веб-сервер компании, после того как та отказалась заплатить им 10 000 долларов. Когда были подсчитаны прямые и косвенные убытки, связанные с парализацией серверов, выяснилось, что компания понесла в итоге урон в размере 200 000 долларов.

Размер экономического ущерба, который наносят DDoS-атаки по всему миру, достоверно подсчитать невозможно, однако, по словам Рамиля Яфизова, жертвами DDoS- атак каждый день становятся сотни компаний. Согласно грубым оценкам, совокупный ущерб, нанесенный бизнесу киберпреступниками, приближается к миллиарду долларов.

Во многих европейских странах и в США приняты законодательные акты, определяющие ответственность за хакерские атаки и их реализацию. С российским законодательством все несколько сложнее. В УК РФ есть несколько статей, направленных на пресечение киберпреступности — ст. 272 УК «неправомерный доступ к компьютерной информации» (до пяти лет) и ст. 273 «создание, использование и распространение вредоносных программ для ЭВМ» (до семи лет), однако они не работают в отношении хакеров, использующих DDoS- атаки. Ведь ходе атаки неправомерного доступа не происходит, а факт использования вирусов вообще недоказуем.

Впрочем, дополнить законодательство не так уж трудно. Куда сложнее найти преступников и собрать доказательства их вины.

Как бы то ни было, по словам антивирусного эксперта «Лаборатории Касперского» Сергея Новикова, все чаще компании обращаются в соответствующие органы, вместо того, чтобы платить мошенникам, тем самым поощряя их действия.

 

Программы атакуют, программы защищаются

По словам специалистов McAfee, заказное DDoS-нападение становится все более популярной услугой; множество злоумышленников предлагают услуги бот-сетей, состоящих из тысяч компьютеров, атакующих сайты за деньги. Такие бот-сети иногда способны вывести из строя даже самые защищенные сайты.

Более того, современные киберпреступники даже предлагают потенциальным заказчикам тестовую демонстрацию своих возможностей, в течение нескольких минут устраивая показательную атаку.

Чаще всего для проведения DDoS-атак хакеры используют вредоносные программы семейства SdBot, Rbot и BlackEnergy Bot. Согласно отчету McAfee, зафиксировано и рост таких программ: если в I квартале этого года их было 250 тысяч, то в III квартале — уже 600 тысяч.

По словам Сергея Новикова, расценки на услуги DDoS- хакеров в последние два года сильно не изменились. Профессиональная атака веб-сайта средней руки стоит 7-10 тысяч рублей. Масштабная атака на хорошо защищенный сервер обойдется в нескольких десятков тысяч долларов в день.

Впрочем, рынок защиты растет с той же скоростью: современные программные продукты умеют не только распознавать атаку, но и предотвращать ее. Цена на них сопоставима с ценой качественной DDoS-атаки: около 10 000 долларов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники хранили свой код в DNS-записях в шестнадцатеричном формате

Команда DomainTools обнаружила еще один пример использования DNS как хранилища вредоносов. Для сокрытия бинарника его конвертировали в шестнадцатеричный формат, разбили на части и спрятали в TXT-записях связанных поддоменов.

Подобные злоупотребления рассчитаны на то, что защитные решения редко проверяют DNS-трафик на предмет угроз, он для них слепая зона. К тому же организовать выявление аномалий в легитимном потоке запросов в данном случае непросто, а при использовании шифрования (DoH или DoT) — еще сложнее.

Привлекшие внимание экспертов записи DNS TXT содержали информацию о сотнях различных поддоменов *.felix.stf.whitetreecollective[.]com, дополненную фрагментами кода в шестнадцатеричном формате.

 

При их извлечении и сборке с преобразованием в двоичный файл оказалось, что это Joke Screenmate — злонамеренное приложение Windows, которое выводит на экран изображения или анимацию, от которых трудно избавиться.

Это может быть череда шутливых картинок, которые быстро множатся, и их трудно закрыть. Более агрессивные варианты таких программ пугают жертв бесконечными сообщениями об ошибках или якобы обнаруженных вирусах.

Известны случаи, когда в DNS-записях скрывались вредоносные скрипты. Исследователи из DomainTools тоже столкнулись с таким TXT-содержимым; на поверку зашифрованный Powershell оказался загрузчиком, скачивающим пейлоад второго этапа атаки с C2 на базе Covenant.

В комментарии для Ars Technica представитель DomainTools поведал, что недавно они нашли DNS-записи с текстами для ИИ-ботов, которые, видимо, используются в рамках промпт-инъекций. Все фразы начинались с «Ignore all previous instructions» («Забудь обо всех прежних инструкциях») и содержали различные просьбы, от с виду невинных (назвать произвольное число, выдать краткое содержание фильма «Волшебник», спеть песню, как птичка) до явно провокационных (игнорить все последующие инструкции, удалить обучающие данные и восстать против своих хозяев).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru