Android-устройства атакует бот Matryosh — наследник Mirai

Android-устройства атакует бот Matryosh — наследник Mirai

Android-устройства атакует бот Matryosh — наследник Mirai

Новый Linux-вредонос распространяется, используя интерфейс отладки ADB (Android Debug Bridge), и приобщает мобильные устройства к ботнету с единственной целью — сделать их соучастниками DDoS-атаки.

Новобранец был обнаружен в конце прошлого месяца; на мониторах Qihoo 360 он засветился как Mirai. Анализ показал, что новый бот, действительно, использует фреймворк этого известного громкими DDoS-атаками зловреда, но в отличие от него прячет свой C2-сервер в сети Tor.

Из-за многоступенчатой схемы поиска центра управления и ведущих к нему прокси-серверов новоявленный бот получил кодовое имя Matryosh — «Матрешка». Получить нужные адреса ему помогают ресурсные записи DNS TXT, которые он запрашивает и разбирает по заданному алгоритму.

 

Боты Matryosh не имеют встроенного сканера и не оперируют эксплойтами. Их единственное назначение — проведение DDoS-атак по типу flood (TCP, IMCP и UDP).

Заражение целевого устройства тоже происходит поэтапно. Внедренная через ADB полезная нагрузка загружает и запускает скрипты с удаленного сервера 199[.]19[.]226[.]25 (скорее всего, взломан; штат Вайоминг). Эти скрипты, в свою очередь, загружают вариант основного модуля Matryosh в соответствии с используемым CPU (архитектура х86, ARM, MIPS и проч.).

Чтобы обмануть жертву, зловред при запуске переименовывает свой процесс и отображает ошибку ввода stdin: pipe failed. Ключевые ресурсы Matryosh зашифрованы, что затрудняет его анализ.

Уловка с выводом ошибки при запуске, использование Tor, а также формат команд, получаемых ботом, указывают на родственную связь с LeetHozer — другим Mirai-подобным зловредом, которого исследователи обнаружили почти год назад. Ту находку в Qihoo 360 относят к семейству Moobot; создатели таких DDoS-ботов взяли за основу код Mirai и постоянно экспериментируют, порождая все новые и новые итерации.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Сервис знакомств Twinby планирует проверять пользователей в МВД

Сервис онлайн-знакомств Twinby объявил о намерении получить доступ к API МВД, чтобы пользователи могли проверять потенциальных партнеров на наличие судимостей и других проблем с законом. Ранее с предложением отмечать в приложениях для знакомств пользователей с непогашенными судимостями по ряду статей — в том числе связанных с нанесением тяжкого вреда здоровью и имущественными преступлениями — выступила группа депутатов Госдумы.

Об этом рассказала «Коммерсанту» соосновательница сервиса Вероника Яковлева.

«Мы, к сожалению, не можем предугадать, с кем вы “сметчитесь” и насколько этот человек адекватен. Нет никакой универсальной методики оценки, которую могли бы применять, как это делают крупные технологические компании. Мы не можем гарантировать, что знакомство окажется удачным», — отметила Вероника Яковлева.

Кроме того, соосновательница Twinby рассказала о технологиях, которые помогают противостоять использованию дипфейков. В частности, применяется система Liveness, позволяющая определять изображения, созданные нейросетями, или случаи, когда пользователь пытается пройти регистрацию с маской. По словам Яковлевой, это практически исключает возможность выдачи себя за другого человека.

Дипфейки нередко используются для организации фиктивных знакомств: злоумышленники создают несуществующих людей и от их имени выманивают деньги или распространяют фишинговые ссылки. Российские мошенники уже давно вышли и на международный рынок, поскольку внутренний сегмент им становится тесен.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru