Создателю ботнета Kelihos дали срок, который он уже отбыл

Создателю ботнета Kelihos дали срок, который он уже отбыл

Создателю ботнета Kelihos дали срок, который он уже отбыл

Окружной суд штата Коннектикут вынес приговор Петру Левашову: за создание ботнета Kelihos и использование его для рассылки спама петербуржца наказали лишением свободы на 2 года и 9 месяцев — срок, который он уже провел за решеткой. Ему также придется компенсировать ущерб, причиненный противоправной деятельностью; размер взыскания будет определен позднее.

Прокуратура ратовала за более суровое наказание — от 12 до 14,5 лет, однако суд счел, что тяжесть содеянного не столь велика, как указано в ходатайстве. К тому же преступник вряд ли вновь вступит на тот же путь, поэтому времени, проведенного в заключении, для него вполне достаточно.

В США россиянина судили только за операции Kelihos — многотысячной бот-сети, более пяти лет распространявшей рекламный, мошеннический и вредоносный спам. На самом деле Левашов, известный в Сети как Peter Severa, начал строить карьеру спамера лет пятнадцать назад. Для автоматизации email-рассылок он вначале создал ботнет Storm, затем Waledac и уже под занавес — Kelihos.

Злостного спамера арестовали в 2017 году в Испании и впоследствии передали американским властям. Россия тоже настаивала на выдаче Левашова, но испанский суд принял решение об экстрадиции в пользу США.

В ходе судебного процесса «король спама» раскаялся в содеянном; в начале прошлого года его выпустили из тюрьмы, надев для контроля электронный браслет. Теперь Левашову придется задержаться в США еще на три года — под административным надзором, с контролем использования компьютерной техники. Сумму штрафа пока не огласили за отсутствием данных о доходах россиянина.

Linux-ботнет SSHStalker старомоден: C2-коммуникации только по IRC

Специалисты по киберразведке из Flare обнаружили Linux-ботнет, операторы которого отдали предпочтение надежности, а не скрытности. Для наращивания потенциала SSHStalker использует шумные SSH-сканы и 15-летние уязвимости, для C2-связи — IRC.

Новобранец пока просто растет, либо проходит обкатку: боты подключаются к командному серверу и переходят в состояние простоя. Из возможностей монетизации выявлены сбор ключей AWS, сканирование сайтов, криптомайнинг и генерация DDoS-потока.

Первичный доступ к Linux-системам ботоводам обеспечивают автоматизированные SSH-сканы и брутфорс. С этой целью на хосты с открытым портом 22 устанавливается написанный на Go сканер, замаскированный под опенсорсную утилиту Nmap.

В ходе заражения также загружаются GCC для компиляции полезной нагрузки, IRC-боты с вшитыми адресами C2 и два архивных файла, GS и bootbou. Первый обеспечивает оркестрацию, второй — персистентность и непрерывность исполнения (создает cron-задачу на ежеминутный запуск основного процесса бота и перезапускает его в случае завершения).

Чтобы повысить привилегии на скомпрометированном хосте, используются эксплойты ядра, суммарно нацеленные на 16 уязвимостей времен Linux 2.6.x (2009-2010 годы).

 

Владельцы SSHStalker — предположительно выходцы из Румынии, на это указывает ряд найденных артефактов.

Исследователи также обнаружили файл со свежими результатами SSH-сканов (около 7 тыс. прогонов, все за прошлый месяц). Большинство из них ассоциируются с ресурсами Oracle Cloud в США, Евросоюзе и странах Азиатско-Тихоокеанского региона.

RSS: Новости на портале Anti-Malware.ru