Win32.Ntldrbot (aka Rustock.C) больше не миф. Новая версия сканера Dr.Web отлично справляется с руткитом-невидимкой

Win32.Ntldrbot (aka Rustock.C) больше не миф. Новая версия сканера Dr.Web отлично справляется с руткитом-невидимкой

Компания «Доктор Веб» объявляет о выпуске новой версии сканера Dr.Web, которая не только детектирует Win32.Ntldrbot (aka Rustock.C), но и лечит зараженные им системные файлы. На текущий момент ни один современный антивирус, кроме Dr.Web, не детектирует Win32.Ntldrbot.

На днях мир отметил печальную годовщину – тридцатилетие спама. Пройдя путь от надоедливой рекламы американских консерв Hornel Foods под торговой маркой SPAM, рассылка нежелательных писем превратилась в серьезную общемировую проблему. Многие из нас замечают странные утечки трафика, а наши почтовые ящики по оценкам специалистов почти на 90% переполнены совершенно ненужной и раздражающей информацией. Одной из причин такого невиданного уровня спама как раз являлся Win32.Ntldrbot.

Главное предназначение Win32.Ntldrbot – заражать ПК, превращая их в боты, с которых впоследствии можно рассылать спам, и создавать из таких зараженных компьютеров ботнеты – гигантские сети по рассылке спама. Но не только заражать, а еще и оставаться абсолютно невидимым. Что с успехом и делал этот руткит предположительно с октября 2007 года! По оценке компании Secure Works бот-сеть, созданная Rustock, стоит на третьем месте среди крупнейших бот-сетей и способна рассылать ежедневно до 30 миллиардов спам-сообщений. Основная область «специализации» этой сети - ценные бумаги и фармацевтика.

Обкатка новых технологий перехвата функций сетевых драйверов и техник сокрытия себя в системе была начата автором этого руткита в конце 2005 – начале 2006 года, когда появились его первые бета-версии. В том же 2006 появилась версия Rustock.B, которая позволяла обходить файерволы и прятать спам-трафик. Справляться с первыми версиями руткита для антивирусных компаний не составляло особого труда.

А вот со следующей версией Rustock случилась загвоздка: его образец не смогли обнаружить ни антивирусные компании, ни вирусописатели. По принципу «нет жертвы - нет преступления» большинство антивирусных вендоров заняло такую позицию: «Раз даже мы его не видим (не нашли), значит он не существует. Это миф!»

Не все антивирусные лаборатории бросили его поиск, и он дал результаты. Прошло полтора года, и Win32.Ntldrbot был найден аналитиками компании «Доктор Веб» в начале 2008 года. Все это время он работал, рассылал спам. Если предположить, что руткит безнаказанно работает с октября 2007 года и совершенно невидим для антивирусов, можно сделать выводы о каком громадном количестве паразитного трафика идет речь.

Службой вирусного мониторинга компании «Доктор Веб» обнаружено порядка 600 экземпляров данного руткита. Сколько их существует на самом деле в мире неизвестно. Несколько недель кропотливой работы ушло на распаковку, детальный анализ и улучшение методов детектирования подобных экземпляров.

Наталья Касперская извинилась перед Роскомнадзором за пост о сбое в рунете

Президент ГК InfoWatch, глава правления АРПП «Отечественный софт» и соосновательница «Лаборатории Касперского» Наталья Касперская извинилась перед Роскомнадзором за свой пост о причинах масштабного сбоя, который 3 апреля затронул банковские сервисы и СБП.

Напомним, в тот день пользователи массово жаловались на проблемы в работе Сбербанка, Т-Банка, ВТБ, Ozon Банка и сервиса доставки «Самокат».

На фоне этих неполадок Касперская написала в своём телеграм-канале, что, по её версии, причиной мог стать Роскомнадзор, который якобы слишком активно взялся за борьбу с VPN.

В своём первом комментарии она ссылалась на мнение знакомых технических специалистов и утверждала, что блокировка VPN без побочных эффектов для остального интернета практически невозможна.

По словам Касперской, VPN-тоннели глубоко встроены в сетевой трафик и используют протоколы, которые во многом пересекаются с теми, что применяют банки и другие легальные сервисы. Именно поэтому попытка ограничить такие механизмы могла привести к массовым сбоям.

Тогда же она довольно резко описала ситуацию, сравнив происходящее с «вражеским налётом», и даже посоветовала россиянам снять наличные и сохранять нужные страницы сайтов офлайн. Кроме того, она допустила, что официально в случившемся могут обвинить «внешних врагов».

Однако позже Касперская опубликовала новый пост, но уже с извинениями. Глава правления АРПП «Отечественный софт» сообщила, что Андрей Липов в личном разговоре объяснил ей: реальной причиной сбоя стали внутренние неполадки в системах Сбербанка.

Поскольку Сбербанк является системообразующим игроком и на его инфраструктуру завязаны другие банки, проблемы внутри этой системы сказались и на работе ряда финансовых сервисов, включая СБП.

В новом сообщении Касперская назвала Роскомнадзор «уважаемым ведомством» и признала, что сделала поспешные выводы. При этом полностью тему она не закрыла и заодно раскритиковала профильные органы за слабую публичную коммуникацию.

По её мнению, если бы Минцифры, Роскомнадзор или сам Сбербанк быстрее и подробнее объяснили, что именно произошло, пространство для слухов и догадок было бы куда меньше. Она отдельно отметила, что в тот же день министр цифрового развития Максут Шадаев говорил о блокировке VPN, и многие вполне логично связали это заявление со сбоем в банковской сфере.

Касперская также подчеркнула, что Роскомнадзор в этой ситуации выступает скорее исполнителем и не должен делать самостоятельные политические заявления. А вот более активного диалога с ИТ-сообществом, по её мнению, как раз не хватает со стороны Минцифры и правительства.

RSS: Новости на портале Anti-Malware.ru