ESET обнаружила новые компоненты крупнейшего ботнета Windigo

ESET обнаружила новые компоненты крупнейшего ботнета Windigo

ESET обнаружила новые компоненты крупнейшего ботнета Windigo

Вирусная лаборатория ESET обнаружила новый образец вредоносной программы Linux/Ebury – основного компонента ботнета Windigo. Исследование подтвердило, что Ebury продолжает активно использоваться атакующими, и инфраструктура, предназначенная для кражи данных, все еще функционирует. 

В марте 2014 года ESET совместно с экспертной группой CERT-Bund и исследовательским центром SNIC опубликовала отчет об «Операции Windigo». Вредоносная киберкампания продолжалась как минимум с 2011 года. В течение нескольких лет операторы ботнета скомпрометировали более 25 000 Linux и UNIX-серверов, а также устройства на базе ОС Windows, OS X, OpenBSD, FreeBSD и Linux. Среди пострадавших такие организации, как cPanel и Linux Foundation.

Основной компонент «Операции Windigo» – OpenSSH-бэкдор и инструмент кражи данных Linux/Ebury, установленный на десятки тысяч серверов. С его помощью атакующие загружали в скомпрометированные системы дополнительные программы для кражи учетных данных, перенаправления трафика на вредоносный контент, заражения пользователей и рассылки спама.  

В августе 2015 года был арестован Максим Сенах, один из подозреваемых в организации ботнета Windigo. В марте 2017 года он признал вину в нарушении закона о компьютерном мошенничестве и злоупотреблении, в августе – приговорен к 46 месяцам тюремного заключения. 

Вскоре после ареста Сенаха система телеметрии ESET показала снижение активности одного из компонентов ботнета – вредоносной программы Linux/Cdorked, предназначенной для перенаправления веб-трафика. Как было установлено впоследствии, Сенах получал прибыль от этого вида вредоносной деятельности Windigo. Активность Linux/Cdorked до настоящего времени не возобновлена. 

Тем не менее, ботнет Windigo продолжает работу. Например, в ESET наблюдали новые версии программы Win32/Glupteba, также связанной с Windigo и отвечающей в составе ботнета за рассылку спама.

Наконец, в феврале 2017 года специалисты ESET обнаружили новый образец Ebury (версия 1.6), получивший ряд существенных доработок. Теперь Ebury использует новый алгоритм генерации доменов (DGA) для передачи украденных данных. Авторы малвари предусмотрели методы самомаскировки и новые способы внедрения в процессы, связанные с OpenSSH. 

Кроме того, операторы Windigo изучают исследования поставщиков решений для безопасности и дорабатывают вредоносные инструменты, чтобы обходить индикаторы заражения и избегать обнаружения. 

Пользователи Android чаще всего блокируют рекламу через Private DNS

Пользователи Android всё чаще отказываются от приложений и VPN для блокировки рекламы, выбирая Private DNS как самый простой и эффективный способ защиты. Опрос показал, что DNS-сервисы вроде AdGuard и Cloudflare позволяют убрать рекламу, снизить риск мошенничества и не замедлять работу смартфона.

Как выяснили исследователи, самым популярным способом блокировки рекламы стал Private DNS. Этот вариант заметно опередил все остальные.

Около 65% респондентов сообщили, что используют Private DNS, например Cloudflare 1.1.1.1 или специализированные решения вроде AdGuard DNS. Такие сервисы легко настраиваются, не требуют установки сторонних приложений и позволяют отсеивать рекламные и потенциально опасные домены на уровне запросов.

Для сравнения: менее 19% пользователей предпочитают сторонние приложения для блокировки рекламы, такие как Blokada. Совсем небольшая доля респондентов призналась, что вообще не использует никакие инструменты для защиты от рекламы.

 

Пользователи отмечают сразу несколько преимуществ DNS-подхода:

  • он не нагружает систему и не замедляет интернет, как это иногда бывает с VPN;
  • не конфликтует с сервисами вроде Android Auto;
  • помогает фильтровать не только рекламу, но и фишинговые или сомнительные сайты;
  • настраивается за пару минут прямо в системных параметрах Android.

При этом Private DNS не ограничивает доступ к сервисам и не ломает работу приложений, что для многих оказалось решающим фактором.

Помимо DNS-сервисов, пользователи активно рекомендуют браузеры с встроенной блокировкой рекламы. Среди популярных вариантов — Firefox с расширением uBlock Origin и фирменный браузер Samsung, который поддерживает контент-блокеры из коробки.

Некоторые, наоборот, выбирают отдельные приложения для блокировки рекламы. Такой подход может быть удобнее, например, в корпоративной среде, где важно, чтобы инструменты защиты корректно работали с бизнес-приложениями.

RSS: Новости на портале Anti-Malware.ru