Показать сообщение отдельно
Старый 07.04.2011, 10:01   #44
 
Статус: Ст.Лейтенант
Регистрация: 03.10.2008
Адрес: КМВ))•
Сообщений: 449
СПАСИБО: 316
сказали Спасибо 355 раз(а) в 196 сообщении
Получено наград:
По умолчанию Re: Новости информационной безопасности

Ликвидация ботнета Win32.Ntldrbot (Rustock)
Цитата:
Март 2011 года оказался богат на события в сфере информационной безопасности. В числе главных новостей — проникновение троянцев в платежные терминалы и ликвидация крупнейшей в мире спам-сети — ботнета Win32.Ntldrbot, известного также под названием Rustock. Помимо этого, злоумышленники предприняли ряд заметных атак на социальные сети. Кроме того, как и следовало ожидать, катастрофа в Японии послужила темой множества спам-рассылок и спекуляций.

Закрытие ботнета Win32.Ntldrbot (Rustock)
17 марта 2011 года прекратил работу самый крупный генератор спама, ботнет Win32.Ntldrbot. 26 командных центров ботнета стали недоступны, и сотни тысяч ботов, оставшись без управления, впали в спячку.

По оценкам Microsoft, компьютер, зараженный Win32.Ntldrbot, рассылал до 10000 писем в час. При этом, по данным некоторых экспертов, в спам-сеть входило порядка 815 тысяч ботов. Таким образом, суммарный спам-трафик, создаваемый ботнетом Win32.Ntldrbot, можно оценивать в несколько миллиардов сообщений в сутки. Ответственность за обезглавливание ботнета Win32.Ntldrbot взяла на себя корпорация Microsoft, которая провела операцию совместно с американскими властями.

Win32.Ntldrbot, первые известные образцы которого датируются 2005 годом, стал одним из самых высокотехнологичных и сложных представителей актуального троянского ПО. Разработчик Win32.Ntldrbot несколько лет совершенствовал эту программу, а разбор кода троянца послужил источником множества аналитических публикаций.

Юридическим обоснованием операции был гражданский иск Microsoft против неустановленных лиц, стоявших за данным ботнетом. По распространенной версии, злоумышленниками являются наши соотечественники.

Пока сложно давать прогнозы относительно будущего спам-индустрии. Тот ощутимый урон, который нанесло ей закрытие крупнейшей спам-сети, может быть быстро возмещен ростом других ботнетов. Лидирующие позиции в распространении спама уже занял давно известный ботнет Win32.HLLM.Beagle, активность которого последние несколько лет была низкой. Обе спам-сети специализируются на фарм-спаме – рекламе лекарственных препаратов.

В дальнейшем стоит также быть готовыми к изменению архитектуры ботнетов в сторону децентрализации. Также высказываются предположения о возможности восстановления ботнета Win32.Ntldrbot.
Троянцы в терминалах
В марте 2011 года компания «Доктор Веб» заявила об обнаружении новой модификации троянца Trojan.PWS.OSMP, специализирующегося на заражении терминалов экспресс-оплаты. Этот троянец изменяет номера счетов получателей платежей. А последняя его модификация, вероятно, позволяет злоумышленникам создать виртуальный терминал. Примечательно, что троянец был обнаружен не при анализе зараженного терминала, а при мониторинге бот-сети другого троянца, обеспечивающего пути проникновения Trojan.PWS.OSMP на терминалы. Заражение терминалов происходит в два этапа. Сначала на терминал попадает BackDoor.Pushnik, который представляет собой запакованный исполняемый файл размером ~620 КБ, написанный на Delphi, и распространяется через сменные носители. После установки троянец получает управляющие данные от своих командных центров и через несколько промежуточных шагов загружает и запускает бинарный файл размером 60-70 КБ, содержащий Trojan.PWS.OSMP. Тот перебирает запущенные процессы в поисках процесса maratl.exe, являющегося частью программного окружения платежных терминалов. В случае успеха троянец внедряется в процесс и изменяет счет получателя непосредственно в памяти процесса, подставляя счета злоумышленников.

Последняя зафиксированная версия троянца реализует другую схему мошенничества. Trojan.PWS.OSMP копирует на свой сервер конфигурационный файл ПО платtжного терминала. Кража конфигурационного файла предполагает попытку создания поддельного терминала на компьютере злоумышленников, что должно позволить перенаправлять безналичные денежные средства на счета разработчиков троянца.

Новые критические уязвимости в продукции Adobe
14 марта 2011 года Adobe объявила об обнаружении очередной уязвимости в проигрывателе Adobe Flash Player 10.2.152.33 и некоторых более ранних версиях.

Уязвимость позволяет злоумышленникам атаковать систему при помощи специально оформленного swf-файла. Она является общей для версий данного программного продукта для Windows, Mac OS, Linux, Solaris и ранних версий Android.

Обновления, закрывающие эту уязвимость, были выпущены только 21 марта. Таким образом, уязвимость оставалась актуальной в течение недели. Вскоре после этого в открытом доступе оказались исходные коды примера эксплуатации данной уязвимости.

Инструмент реализации атаки представляет собой xls-файл со встроенным swf-объектом. Данный swf-файл загружает в память shell-код, затем выполняет атаку на уязвимый flash-проигрыватель, используя технику Heap Spray. Затем код swf-файла загружает второй swf-файл, который использует уязвимость интерпретатора байт-кода ActionScript CVE-2011-0609, общего для всех уязвимых систем.

Демонстрация уязвимости спровоцировала рассылки писем, содержащих во вложении троянский xls-файл, включающий в себя Exploit.SWF.169. При запуске троянского файла среда MS Excel на некоторое время перестает отвечать, при этом пользователь видит пустую таблицу со встроенным flash-роликом без изображения.

В это время Exploit.SWF.169 осуществляет свою локальную атаку, сохраняет на диск и запускает исполняемый файл с нагрузкой в виде Trojan.MulDrop1.64014 или Trojan.MulDrop.13648.

Атаки на социальные сети
На сегодняшний день социальные сети — популярная цель хакерских атак. 4 марта 2011 года была осуществлена массовая рассылка фишинговых писем от имени администрации сервиса-блога, содержащих уведомления о блокировке и возможном удалении аккаунта на ресурсе.

При этом в графе отправителя фишингового письма был указан адрес, который действительно используется сервисом для рассылки уведомлений. Мошенническая ссылка, по которой предлагается перейти, ведет на один из поддельных сайтов.

При переходе пользователь попадает на страницу, копирующую дизайн оригинального блог-ресурса. Данные, которые здесь вводит пользователь, передаются мошенникам.

Цитата:
Когда на экраны вышел фильм «Терминатор» и мир наблюдал за борьбой человечества со всесильным Скайнетом, мало кто мог предположить, что это не чистая фантастика. Прошло всего несколько лет, и в Сети появились первые ботнеты.

Рассылка спама – это уже не модно. В битве с армиями компьютеров-зомби подчас падают без чувств мощнейшие интеренет-ресурсы. Как раз сейчас гнется под натиском ботнетов самый популярный блог-хостинг в русскоязычном сегменте.

Специалисты по компьютерной безопасности лаборатории Касперского и Symantec утверждают, что ботнеты вышли на первое место в списке интернет-угроз, далеко обогнав такие традиционные «страшилки», как вирусы или черви. Не существует точной статистики зараженных компьютеров, но по некоторым признакам их может быть не менее двенадцати миллионов по всему миру. Значительный процент из этого числа – российские IP.

Пользователь обычно не догадывается, что его компьютер управляется извне, и мало того - рассылает трояны, вербуя новых «рекрутов». Использование таких сетей уже стало настоящим криминальным бизнесом: популярные сайты иногда попросту «заказывают» конкуренты, а жертва несет финансовые и репутационные убытки.

Обычные меры предосторожности теперь не всегда достаточны, и эксперты советуют использовать специальные «патрулирующие» программы.
Подробнее об этом в [Ссылки могут видеть только зарегистрированные пользователи. ]


[Ссылки могут видеть только зарегистрированные пользователи. ]

Последний раз редактировалось Владимир_; 07.04.2011 в 10:14.
Владимир_ вне форума   ЦИТИРОВАТЬ
Этот пользователь сказал Спасибо Владимир_ за это полезное сообщение:
4айник (07.04.2011)