Найден способ захвата бот-сетей Zeus

Найден способ захвата бот-сетей Zeus

В серверном программном обеспечении Zeus обнаружена критическая уязвимость, с помощью которой можно захватить контроль над системой управления бот - сети.

На данный момент ZeuS является самым распространенным и популярным среди киберпреступников средством для создания и распространения различных версий троянцев, нацеленных на кражу данных. Более того, зараженные компьютеры формируются в сеть, управляемой злоумышленником. Количество подобных сетей исчисляется тысячами, а то и десятками тысяч.

Известный исследователь в области безопасности, Билли Риос, в процессе тестирования последней версии серверного программного обеспечения - C&C Zeus 1.3.2.1, обнаружил в ней критическую уязвимость. По его мнению, она присуща не только этой версии, но и более ранним, а так же будет прослеживаться и в последующих версиях Zeus.

Как сообщил Риос в своем блоге, при установке приложения, для неавторизованного пользователя предоставляется не так уж много возможностей: есть доступ к странице авторизации (необходимы логин и пароль) и доступ к странице - «шлюзу», через которую осуществляется связь с зараженными компьютерами. В частности, через нее загружаются украденные персональные данные и компьютер-зомби получает инструкции. Название этой страницы может изменяться, а информация, проходящая через нее, шифруется с помощью алгоритма RC4. Но, тем не менее, ключ можно достаточно легко извлечь из памяти инфицированного компьютера или дешифровав файл config.bin, который является частью бота.

В результате исследования, оказалось, что с помощью страницы - «шлюз»,  Zbot клиенты могут загрузить не только файл журнала (logfile) на сервер, но и любой вредоносный код.

Разработчики Zeus предусмотрели такой вариант атаки и внесли в черный список выполнения файлы с расширением PHP. Но, правда, как выяснилось, они не учли, что программы, разработанные  на PHP, коим и является их система управления, по умолчанию могут исполнять файлы «.php.» (с точкой на конце). Более того, вредоносный «.php.» файл, может быть легко перенесен в корневую папку (webroot).

Как объяснил Риос, получив собственный исполняемый PHP эксплойт, работающий на C&C, пользователь может извлечь конфигурационный файл (config.php) и получить полный доступ к системе. Ведь в этом файле содержаться все данные, а именно, местоположение базы данных MySQL, логин и пароль к ней.

Таким образом, эта уязвимость дает возможность специалистам в области безопасности захватить управление бот-сетью и уведомить жертв атаки. Но здесь, уже действуют этические нормы.

В тоже время, это дает шанс киберпреступникам взламывать сети друг друга, что подвергает персональные данные большей угрозе, чем раньше.  

Киберучения, ИИ и защита КИИ: что обсудят на КиберV-2026

С 8 по 11 июня 2026 года в Томске пройдёт V юбилейный форум КиберV-2026, посвящённый кибербезопасности. На площадках города, включая БКЗ Томск, соберутся специалисты по ИБ, представители государства, бизнеса, образования, а также школьники, студенты и молодые ИТ-специалисты.

За несколько лет КиберV вырос из отраслевой конференции в заметную региональную площадку для обсуждения практических вопросов информационной безопасности.

В этом году программа рассчитана на четыре дня и охватывает сразу несколько направлений: обучение молодых специалистов, киберучения, соревнования, деловую программу и практические мастер-классы.

Первый день, 8 июня, будет посвящён молодёжи. Участников ждут киберучения на полигоне Ampire от компании «Перспективный мониторинг», мастер-классы от UserGate, лекции, карьерные консультации и интерактивные стенды. Студенты смогут попробовать себя в роли специалистов CSIRT и пройти сценарии обнаружения атак и защиты инфраструктуры.

9 июня состоятся соревнования КиберСибирь’2026 в формате Attack-Defense. Команды студентов вузов и колледжей будут защищать собственную инфраструктуру, искать уязвимости, отражать атаки соперников и захватывать «флаги». Формат близок к реальной работе ИБ-специалистов: мало теории, много давления, ограниченное время и постоянные попытки что-нибудь сломать.

Главный день деловой программы запланирован на 10 июня. На конференции обсудят защиту критической информационной инфраструктуры, требования Приказа ФСТЭК №117, применение ИИ, роботизацию производств, финансовую безопасность, защиту от мошенничества и импортозамещение в сфере ИБ. В программе заявлены пленарная сессия, панельные дискуссии, круглые столы, выставка отечественных решений и демонстрации технологий.

11 июня пройдёт день КиберV Специалист, ориентированный на практику. Участников ждут мастер-классы, разбор реальных кейсов, работа со средствами защиты информации и общение с разработчиками. Также предусмотрена возможность получить удостоверения о повышении квалификации от ТУСУР.

Отдельно в рамках форума проведут образовательный трек КиберV Образование для школьников, родителей и педагогов. Темы вполне приземлённые: цифровая безопасность детей, кибергигиена, защита от интернет-мошенничества, безопасное использование соцсетей и мессенджеров, а также угрозы, с которыми подростки сталкиваются в интернете.

Организаторы ожидают, что в 2026 году форум соберёт более 1000 участников. Для Томска это ещё один повод показать, что разговор о кибербезопасности давно вышел за рамки узкого профессионального круга: теперь это и про кадры, и про образование, и про бизнес, и про обычных пользователей, которым тоже приходится жить в цифровой среде.

RSS: Новости на портале Anti-Malware.ru