Russian
Интернет находится в нормальном состоянии, крупных эпидемий и других серьезных инцидентов службой мониторинга «Лаборатории Касперского» не зафиксировано. Уровень опасности: 1

Российский ZeuS меняет провайдера

Татьяна Никитина
Блогер
опубликовано 19 май 2010, 12:25  MSK
Сюжеты: Статистика по зловредам, Ботнеты, ZeuS
0.2
 

Пятница, 14 мая, ознаменовалась отключением от Сети российской автономной системы PROXIEZ-NET (AS50896), через которую боты ZeuS (Zbot) получали команды от 13-ти управляющих серверов, размещенных в ее подсети.

Кто лишил PROXIEZ-AS, равно как и вышестоящего провайдера DIGERNET (AS50818), связи с интернетом, неизвестно. После безуспешных попыток вернуть соединение оба сервиса канули в Лету. Владельцы центров управления ZeuS, потерявших связь с ботами, уже нашли другой канал – новоиспеченного провайдера EVAUA (AS50908), он же InfoPlus Ltd. EVAUA- AS, прописанный в Евпатории, уже поддерживает практически весь командный трафик ZeuS, транслировавшийся через PROXIEZ.

Йошкар-Олинский сервис PROXIEZ-NET просуществовал недолго, но успел стяжать славу «пуленепробиваемого» прибежища киберкриминала. В этой подсети были обнаружены 57 хостов, обеспечивающих жизнедеятельность ZeuS, Brebolab, разномастных кейлоггеров, даунлоудеров, эксплойтов.

Сколько будет существовать новый канал, покажет время. Предыдущая победа над ZeuS в России была недолговечной: владельцы «бронированного» хостинга оперируют разветвленной сетью альтернативных AS-сервисов, обеспечивающих выход в интернет через разных провайдеров.


11 комментариев

старые сверху
«дерево»
 

Fixxxer

19 май 2010, 16:36
0
 

Татьяна, а можно ли поподробнее, почему существуют и функционируют провайдеры, обеспечивающие жизнедеятельность C C ботнетов, если их вина доказана? В Вашем примере узлы находились на территории России, страны-родины "Лаборатории Касперского", и, пожалуй, Вы сможете наиболее объективно оценить причины того, что подобное случается и при этом в итоге "кто лишил связи с интернетом неизвестно".

Из примеров другого характера: всё более укрепляющийся (что тревожит куда сильнее) ботнет TDL3 имеет ряд хостов, жёстко прописанных в инжектируемой библиотеке, например, http://mfdclk001.org. Вредонос регулярно связывается с чем-то вроде http://mfdclk001.org/какой-то_набор_символов, что отображается в антифишинговом компоненте KIS. Простой запрос whois показывает:
mfdclk001.org
213.163.89.104
213.163.89.0 - 213.163.89.127
High Secured Space Network Group
Tom Holder
NL-3514 AA Naaldwijk, Postbus 65, The Netherlands
phone: +31 175 541021
tom@highsecuredspace.org

Итак, имеется полная информация о хостере. То, что он жёстко зашит, а не динамически меняется из конфигурационного файла, говорит о важности этого узла. Так почему не предпринимается никаких мер?

Татьяна Никитина

19 май 2010, 23:21
1
 

Re:

Насколько я могу судить, опираясь на хронологию противостояния в Сети, блокировка провайдера - о-о-очень стремное дело. Помимо неоспоримых доказательств его вины перед интернет-сообществом, нужны неслабая законодательная база и совместный нажим по всем фронтам.
Вспомните, какой отклик вызвало отключение McColo или 3FN - это единичные случаи, когда успех акции обеспечили совместные усилия профессиональных борцов за безопасность, регистраторов, провайдеров, правозащитников, СМИ и рядовых активистов. Похоже, многие участники вплоть до развязки не были уверены в положительном исходе.
А попытки ликвидировать ботнеты-спамеры Mega-D и Waledac (тоже отнюдь не в одиночку) и вовсе закончилось кратковременной передышкой, окончательно истребить их не удалось.
Добровольцы Knujon несколько лет бодаются с недобросовестными регистраторами, в сетях которых хозяйничают преступники. Spamhaus и другие держатели "черных списков" регулярно выставляют на всеобщее обозрение информацию о злоупотреблениях в подсетях. Насколько я заметила, далеко не все обитатели этих списков торопятся восстановить пошатнувшуюся репутацию (трудности выведения из "черных список" - отдельный вопрос). Что же теперь - их всех мочить? Да и никто В Сети не застрахован от абьюзов.
Когда все же перекрывают кислород какому-то провайдеру, всегда страдают невинные юзеры, тоже пользующиеся его услугами. Это не есть хорошо, и надо всегда принимать во внимание этот аспект борьбы с киберкриминалом.
А самое главное - всегда найдется альтернативный поставщик или регистратор, готовый ради финансовой выгоды закрыть глаза на проделки арендатора или партнера. Деньги, деньги ((

Fixxxer

20 май 2010, 13:53
0
 

Re: Re:

Да уж, "деньги, деньги"... Никто не мешает "защитникам авторских прав" закрывать доступ The Pirate Bay и Torrents.Ru, никто не мешает "правозащитникам" устраивать блокирование работы и проверки Ifolder.ru и многих других хостеров. Там якобы есть правонарушения. ЯКОБЫ. А когда правонарушение ДОКАЗАНО фактами - тут возникает масса вопросов и проволочек.

Какбэ намекает.....

Татьяна Никитина

20 май 2010, 14:16
0
 

Re: Re: Re:

А вы себе представляете в России акцию, подобную закрытию 3FN? - http://www.securelist.com/ru/blog/32715/Imushchestvo_prestupnogo_prova ydera_uydet_s_molotka
Даже при наличии соответствующих законов и какой-никакой судебной практики в этой области американцы при поддержке интернет-сообщества сватались больше года. У нас пока в таких случаях проходят только силовые методы, а инициаторам акций приходится прибегать к конспирации.
Что касается попыток соблюдения "законности" и цензурирования контента, здесь при отсутствии правовой базы царит полная анархия. А перегибы у нас - исторически сложившаяся практика ((

Fixxxer

20 май 2010, 14:48
0
 

Re: Re: Re: Re:

В том-то и проблема, что за бугром всё тянется потому что слишком много свобод, а у нас всё тянется, потому что слишком их мало.

Бабло побеждает зло! :)

Вячеслaв

20 май 2010, 14:35
0
 

Re: Re:

Вот именно. Всех закрывать. Абьюз- не абьюз это дело лично каждого. Плохо работали- значит получайте. В следующий раз наймёте специалиста и сделаете всё что бы он не допустил подобных промашек.
Тогда начнут больше легализоваться те, кто по другую сторону закона сейчас, что бы применить свои знания и навыки для защиты, а не атаки.

Fixxxer

20 май 2010, 15:21
0
 

Re: Re: Re:

А Вы готовы платить за интернет больше? ;) Сокращение числа провайдеров приведёт к снижению конкуренции, да и "хорошие специалисты" просят хорошую зарплату! :)

И примите во внимание специфику "нашего" понимания законов: как только прижмут виновных (не факт, что всех, я уже говорил - бабло побеждает зло) исполнителям придёт в голову, что кроме "точно виновных" есть "почти виновные" и "немного, но виновные", а потом и "чуточку виновные" ну и так далее. План-то выполнять надо! :)

Вячеслaв

20 май 2010, 16:09
0
 

А Вы готовы платить за интернет больше? ;)

Лично я да.
Естественно попросят. На то они и хорошие специалисты. И не только зп попросят, но и условия работы, но это вопрос кадровиков, так же как и вопрос про "чуть-чуть" и способы не конкурентной борьбы это вопрос юристов.
А вот без жёстких действий результата не будет это точно.
Позиция "сидеть у реки и ждать когда проплывёт труп врага"- только на руку преступникам, так как они совсем обнаглели и играют на юридических трудностях, создавая проволочки и показывают полное пренебрежение законами, чувствуя абсолютную ненаказуемость.

К примеру могу рассказать, как в одном городе провайдер закрывал доступ пользователям в сеть, если с их машин была замечена подозрительная активность, до предъявления лога спец утилиты. Похоже на бред, но сегмент ботнета был вырезан под корень очень быстро, причём самими пользователями.
По моему мнению подобное должно происходить и с провайдерами.

Fixxxer

20 май 2010, 16:15
0
 

Re: А Вы готовы платить за интернет больше? ;)

Ну в Китае пытались ограничить доступ к некоторым ресурсам. Не удалось, только денег потратилось много. В некоторых государствах тоже пытаются фильтровать. Появляются всякие решения типа Tor.

Жёсткие меры никто приветствовать не будет. Времена Сталина, Гитлера и Пиночета прошли. Так что утопия, описанная Вами, крайне маловероятна, и более того - бесполезна. Доказательство - в Китае, с его ограничением интернет-доступа, чуть ли не больше всего центров ботнетов и источников заразы.

Вячеслaв

20 май 2010, 16:55
0
 

Re: Re: А Вы готовы платить за интернет больше? ;)

http://www.securelist.com/ru/blog/26768/Kitay_zablokiroval_127_spamers kikh_serverov
http://www.securelist.com/ru/blog/32350/Kitay_uzhestochil_registratsiy u_domenov
http://www.securelist.com/ru/blog/32667/Sophos_Kitay_vypal_iz_gryaznoy _dyuzhiny

Fixxxer

20 май 2010, 23:04
0
 

Re: Re: Re: А Вы готовы платить за интернет больше? ;)

Это показатель? Ну хорошо:
http://ru.wikipedia.org/wiki/Блокирование_Википедии_в_Китайской_Народной_Республике
:-)))

Да и это полезно почитать: http://ru.wikipedia.org/wiki/Интернет-цензура

Вот мы с Вами сейчас переписываемся - а нас уже, возможно, блокирует Великий Китайский Файервол :)

Для добавления комментариев необходимо


Bookmark and Share
Закладки

Ссылки по теме

Также в аналитике

В блоге