В очередной версии TDL4 используется механизм генерации доменных имен (DGA)

Тема в разделе "Новости информационной безопасности", создана пользователем Severnyj, 19 сен 2012.

  1. Severnyj
    Оффлайн

    Severnyj Команда форума Супер-Модератор Ассоциация VN/VIP

    Сообщения:
    7.841
    Симпатии:
    8.599
    На днях компания Damballa Inc. опубликовала отчет об исследовании очередной разработки вирусописателей – новой версии вредоносной программы TDSS/TDL4. Ее уникальность заключается в том, что связь между контрольно-командным сервером (C&C) и зараженным компьютером осуществляется посредством метода случайной генерации доменных имен (DGA), а для распространения угрозы злоумышленники используют так называемые click-fraud-атаки.

    Как известно, сам руткит TDSS/TDL4 нацелен на загрузочную область жесткого диска, что и так делает его довольно сложным для обнаружения, однако, по мнению исследователей Damballa, применение такой технологии общения между трояном и C&C делает угрозу практически неуязвимой перед сигнатурным и поведенческим анализом или «черными списками».

    Эксперт Anti-Malware.ru Валерий Ледовской считает, что поскольку для распространения рассматриваемой модификации TDL4 используется метод DGA, в результате действия которого появляется огоромное количество вредоносных доменов, то обычные способы блокировки вредоносных сайтов не принесут успеха - новые домены появляются на порядок быстрее. «Собственно, используемый в данном исследовании алгоритм Pleiades (Плеяды)», - поясняет эксперт,- «это применение кластерного анализа для выделения подобных вредоносных доменов в кластеры по косвенным признакам, присущим трафику, идущему через подобные сайты. Он позволяет оперативно относить новые домены к уже известным реализациям DGA-алгоритмов, так и автоматически создавать новые кластеры, соответствующие неизвестным реализациям».

    При этом Василий Бердников, эксперт Anti-Malware.ru считает, что, наоборот, ничего нового не появилось. Вместо этого довольно давно в сети распространяются последователи TDL4 - SST/PRAGMA и большей частью Pihar.

    Тем не менее, согласно отчету, угроза под названием NorthSpiderAngels, была обнаружена в июле 2012 года экспертами Damballa Inc., посредством инструмента собственной разработки, который позволяет регистрировать активность в DGA сети. В ходе работы исследователям удалось обнаружить подозительную активность в сети своего интернет-провайдера. Впоследствии выяснилось, что в результате деятельности DGA в сети было создано некоторое количество доменых имен - NXDomains, которые выполняли роль C&C-хоста, для обнаруженых на компьютерах жертв доменов.

    В ходе дальнейшего исследования, с помощью собственной базы DNS, ученым удалось идентифицировать около 418 уникальных доменных имен, отправляющих запросы на C&C. Кроме того эксперты отмечают, что несколько из обнаруженных IP выполняли роль хостов TDSS и TDL4, а также Российской Бизнес-Сетью (Russian Business Network, RBN).

    В результате эксперты выявили, что данная угроза уже успела проникнуть посредством click-fraud-атаки на 250 000 компьютеров; среди них оказались машины, установленные в крупнейших компаниях, включенных в список Fortune 500, нескольких правительственных агентствах и у интернет-провайдеров. Кроме этого было идентифицировано 86 C&C-серверов, 26 из которых расположены в России, 15 в Румынии и 12 в Нидерландах. Эксперты также отметили, что наиболее уязвимыми для проведения таких кампаний являются facebook.com; doubleclick.net; youtube.com; yahoo.com; msn.com; google.com.

    «В целом, можно сказать, что алгоритм достаточно полезный и мог бы помочь антивирусной индустрии получить ещё один мощный инструмент в борьбе между авторами антивирусов и вирусописателями», - считает г-н Ледовской.

    Источник
     
    5 пользователям это понравилось.
  2. Severnyj
    Оффлайн

    Severnyj Команда форума Супер-Модератор Ассоциация VN/VIP

    Сообщения:
    7.841
    Симпатии:
    8.599
    eScan: вредонос TDSS/TDL4 использует алгоритм генерации доменных имен

    17 сентября 2012 года в блоге исследовательского центра Damballa Labs появилось сообщение о распространении нового варианта вредоносной программы TDSS/TDL4, использующего алгоритм генерации доменных имен.

    TDSS/TDL4 отличается сложностью и многофункциональностью, объединяя в себе возможности буткита, руткита и программы-бота. По данным исследователей Damballa Labs, новый вариант TDSS/TDL4 появился в мае текущего года; к настоящему времени им заражены уже более 280 тысяч компьютеров по всему миру. Последние 30 тысяч заражений произошли на прошлой неделе, то есть данная инфекция сейчас находится в стадии активного распространения.

    Киберпреступники используют новый вариант TDSS/TDL4 для накрутки посещений сайтов. Пользователи щелкают по легитимным рекламным объявлениям на таких популярных сайтах, как Facebook, YouTube, Yahoo или MSN, и после этого зловред перенаправляет их на другие интернет-ресурсы.

    Новый вариант TDSS/TDL4 использует алгоритм генерации доменных имён – то есть технику сокрытия командного центра ботнета, знакомую вирусным аналитикам еще со времени появления червя Conficker в 2008 году.

    «Использование вредоносными программами алгоритмов генерации доменных имен продолжается, - комментируют эксперты eScan в России и странах СНГ. – Несмотря на все усилия антивирусных компаний, такие алгоритмы позволяют скрывать серверы командных центров ботнетов. Посмотрим, как это происходит: программа-бот динамически генерирует несколько сот или даже тысяч доменных имен, с каждым из которых пытается установить связь для получения инструкций и обновлений. Огромное количество доменов, которые необходимо проверить, затрудняет своевременное обнаружение и блокирование центров, управляющих ботнетом. Кроме того, часть генерируемых доменных имен обычно принадлежит легальным серверам, которые могут пострадать от отключения в ходе кампании по борьбе с ботнетом или из-за перегрузки вследствие запросов, поступающих одновременно от тысяч зараженных машин, входящих в ботнет».

    «Сегодня эта хакерская техника продолжает совершенствоваться, - добавляют эксперты eScan. - Домены регистрируются хакерами буквально за минуты до соединения, а затем так же быстро становятся неактивными. Всё это говорит о том, что главное направление борьбы с ботнетами – не закрытие их командных центров, а антивирусная защита и предупреждение заражений компьютеров программами-ботами».

    Источник
     
    5 пользователям это понравилось.
  3. thyrex
    Оффлайн

    thyrex Команда форума Супер-Модератор Ассоциация VN/VIP

    Сообщения:
    2.475
    Симпатии:
    3.099
    Со слов Юрия Паршина никакой новой версии TDL4 не появлялось.
    Просто кто-то решил пропиариться :)
     
    4 пользователям это понравилось.
  4. Severnyj
    Оффлайн

    Severnyj Команда форума Супер-Модератор Ассоциация VN/VIP

    Сообщения:
    7.841
    Симпатии:
    8.599
    Ну не будут же они говорить, мы недавно обнаружили, что тушка которую мы поймали в прошлом году, оказывается вон че делает:)
     

Поделиться этой страницей