TrickBot спрятал команды в DNS и научился обходиться без HTTP

TrickBot спрятал команды в DNS и научился обходиться без HTTP

TrickBot спрятал команды в DNS и научился обходиться без HTTP

TrickBot обзавёлся новым способом связи с командным сервером: вместо привычного HTTP вредонос использует DNS-туннелирование. Команды и украденные данные теперь маскируются под обычные DNS-запросы — попробуй отличи атаку от сетевой рутины.

Исследователи из FortiGuard Labs обнаружили, что TrickBot шифрует данные с помощью XOR-ключа 0xB9, переводит их в шестнадцатеричный формат и дробит на части.

Получившиеся строки становятся поддоменами адресов злоумышленников — например, westurn.in. Запросы могут отправляться через публичные DNS-серверы вроде 8.8.8.8.

 

Ответы устроены ещё хитрее: вредонос кодирует данные внутри IPv4-адресов, используя старшие биты каждого октета как метки для сборки фрагментов. Один пакет позволяет передать до 183 байт. Если DNS-сервер перемешает ответы, TrickBot расставит их в правильном порядке самостоятельно.

Скорость такого туннеля достигает примерно 30,7 Кбайт/с. Этого достаточно, чтобы загрузить модуль размером 1,2 Мбайт менее чем за минуту. Не оптоволокно, конечно, но для доставки вредоносной нагрузки вполне бодро.

При этом старые привычки TrickBot не забыл. Он сохранил прежнюю структуру команд, умеет загружать модули, внедрять код в процессы, запускать PowerShell и выполнять машинный код.

 

Для закрепления в системе малварь создаёт задания планировщика с безобидными названиями вроде Wireshark autoupdate #<число>. Они запускаются каждые пять минут и при старте Windows. Сведения о задании и путь к файлу прячутся в альтернативных потоках NTFS $TASK и $FILE.

Строки и названия Windows API внутри образца зашифрованы, а нужные функции определяются во время работы по хешам. Аналитикам оставили настоящий технический квест.

Защитникам рекомендуют проверять аномально длинные и некорректные DNS-запросы, обращения к необычным резолверам и подозрительную активность поддоменов.

Потребление китайских LLM в России выросло более чем в 11 раз

Российские компании резко нарастили использование китайских больших языковых моделей. По данным MWS Cloud, за первое полугодие 2026 года бизнес израсходовал более 400 млрд токенов — в 11,3 раза больше, чем за весь 2025-й, когда показатель составлял 39,1 млрд.

Безоговорочным лидером осталось семейство Qwen. В 2025 году на него приходилось 20 млрд токенов и 51,1% потребления, а за первые шесть месяцев 2026-го — уже 261,1 млрд и 59,1%.

Второе место сохранила GLM: 91,2 млрд токенов и 20,7%. А вот DeepSeek, занимавшая годом ранее третью строчку, уступила её Kimi. Модели этого семейства набрали 81,4 млрд токенов и 18,4%. Китайская нейросетевая гонка идёт настолько бодро, что вчерашний фаворит сегодня уже ищет себя за пределами пьедестала.

Статистика основана на данных платформ MWS GPT Model Hub и MWS GPT. Их основными клиентами выступают крупные компании. Бизнес использует LLM для работы чат-ботов, персонализации рекламы, подготовки рассылок и описаний товаров, а также анализа отзывов и обращений клиентов. В общем, нейросетям поручают всё, что нужно делать круглосуточно, быстро и желательно без жалоб на понедельник.

По оценке MWS Cloud, весь российский рынок LLM в 2026 году вырастет на 35%, до 19,6 млрд рублей. Облачный сегмент, включающий доступ к моделям по SaaS и API, приблизится к 1,5 млрд рублей.

На фоне спроса MWS Cloud расширила каталог Model Hub почти вдвое — до 17 моделей. В него вошли GLM 5.2, Kimi K2.6, Qwen3.6, Gemma 4, GPT OSS, а также средства распознавания и синтеза речи и реранкеры для поисковых систем и RAG-конвейеров. Доступ предоставляется через единый OpenAI-совместимый API.

Судя по объёму токенов, российский бизнес уже не экспериментирует с китайскими LLM. Он кормит ими рабочие процессы — и аппетит растёт быстрее, чем успевает обновляться каталог моделей.

RSS: Новости на портале Anti-Malware.ru