Веблог

Двое суток сторонники безопасного интернета наблюдают игру в «кошки-мышки», где главным призом является сотня головных серверов ZeuS, размещенных в Рунете.

9-го марта швейцарские эксперты из ZeuS Tracker, отслеживающие деятельность этого троянца (Trojan-Spy.Win32.Zbot), с удивлением обнаружили, что количество действующих центров управления ботнетами сократилось более чем на треть. Соответственно снизилась и общая активность троянца в Сети: ведь каждый командный сервер ZeuS поддерживает связь с 20-50 тыс. зараженных машин. Среди ушедших в оффлайн командиров был и тот, что помог злоумышленникам обокрасть работяг в штате Кентукки. А со страницы текущей статистики ZeuS Tracker также исчезли шесть российских и украинских хостинг-провайдеров, в сетях которых были размещены эти серверы.

Как позже выяснилось, группа экспертов по интернет-безопасности убедила москвичей – телеоператора «Айхоум» и владельцев нового дата-центра «Оверсан-Меркурий» – отключить интернет-провайдера Troyak, услугами которого, в числе прочих, пользовались 6 упомянутых выше хостинг-провайдеров. Однако на следующий день Troyak нашел нового телеоператора, а когда спустя некоторое время ему и здесь отказали, обратился в RTComm. К вечеру 11-го марта активисты ZeuS Tracker отметили, что большинство отключенных серверов, управляющих троянцем, опять в строю. Это означает, что злоумышленники получили возможность перенести информацию, украденную ZeuS, на более безопасный ресурс и создать резервный центр управления, обновив боты.

Сама компания Troyak в лице некоего Романа Старченко из Казахстана заявила, что временное отсутствие связи с интернетом было вызвано задолженностью администрации по оплате услуг. Организация числится в базе данных WhoIs с ноября 2007 года, а в конце 2009-го зарегистрировала (через Старченко) домен TroyAk.org. Возможно, это простое совпадение, но оформляла домен небезызвестная индийская компания Directi – аккредитованный в ICANN регистратор, пользующийся большой популярностью у спамеров.

Update: утром 12-го марта Troyak был вынужден вновь поменять телеоператора и теперь связан с интернетом через московскую городскую сеть ЭНЛАИН.

События → Заседание продолжается! Юрий Наместников опубликовано 12 мар 2010, 15:26  MSK Сюжеты: Выставки и конференции рейтинг постинга 0.2

А точнее, продолжается наш курс в МГУ. О лекции, состоявшейся во вторник, я могу рассказать не только как зритель, но и как непосредственный участник, а точнее — лектор.

Основной целью лекции было показать, какие концептуальные проблемы стоят перед аналитиками и разработчиками антивирусов. Для начала мы поупражняли свое серое вещество, обсудив различные теоретические вопросы. Возможно ли создание идеального антивируса, детектирующего все вредоносные программы? А возможно ли создание недетектируемого вируса? Это, безусловно, интересные вопросы для затравки, но практика всегда интереснее теории. Я показал цепочку событий из мира вирусов и антивирусов, состоящую из вызовов со стороны вирусописателей и ответов со стороны антивирусных специалистов. Полиморфные движки вредоносных программ и создание эмуляторов специалистами AV-индустрии, противодействие антивирусным программам и разработка технологий самозащиты антивируса — эти и некоторые другие моменты изобразили «гонку вооружений», в которой участвуют вирусописатели и антивирусные вендоры. Ну а чтобы никто не воспринял эти проблемы как чисто теоритические, они были проиллюстрированы примерами из реальной жизни.

После этого у нас осталось еще немного времени, что позволило мне затронуть еще одну важную тему — подход к классификации вредоносных программ. Зачем рассказывать о классификации, спросите вы. Ответ прост — классификация дает нам новые знания. Только верно классифицировав все обработанные вредоносные программы, мы можем строить прогнозы и ориентироваться в неспокойном мире компьютерных угроз. Правильная и строгая классификация позволит нам понять, от чего нужно защищать пользователя и какие технологии нужно развивать именно сейчас.

События → IT-образование: «Лаборатория Касперского» в МГУ Юрий Наместников опубликовано 10 мар 2010, 10:51  MSK Сюжеты: Выставки и конференции рейтинг постинга 0.1

В этот вторник, 2 марта 2010 года Антивирусная школа снова посетила студентов факультета вычислительной математики и кибернетики МГУ. Визит этот был не праздным, а вполне себе деловым: руководитель отдела образования «Лаборатории Касперского» Станислав Шевченко прочитал первую лекцию в рамках спецкурса «Вредоносные программы и антивирусные технологии». Да-да! Вы не ослышались, вернее, вы все правильно прочитали: антивирусная школа дала старт целому курсу лекций для студентов МГУ.

Курс этот тем интереснее, что он разработан и составлен людьми, работающими на острие — сотрудниками отдела антивирусных исследований и отдела образования. К тому же, профессионалы, работающие в ЛК, выступают в этом курсе не только авторами, но и лекторами. Они расскажут студентам о тех предметных областях, в которых им практически нет равных.

Логично, что специалисты антивирусной лаборатории сами читают этот курс, ведь кто ответит на вопросы студентов лучше, чем человек, сталкивающийся с предметом обсуждения ежедневно.

Однако вернемся к Станиславу Шевченко и его вводной лекции. Разумеется, вводная лекция, она на то и вводная, что в начале Станислав рассказал о том, что ожидает слушателей в процессе обучения, о темах, которые будут затронуты в курсе и объяснил схему, по которой студентам и лекторам лаборатории предстоит работать в этом семестре. Кроме того, с удовольствием и интересом были выслушаны ожидания и пожелания самих студентов относительно стартующего курса. Во время работы над лекциями мы постоянно старались исходить из того, что, на наш взгляд, будет интересно студентам, тем приятнее было узнать, что во многом мы не ошиблись и нашим слушателям интересно узнать именно то, о чем мы сами хотели бы им рассказать.

В Испании арестованы трое операторов ботнета Mariposa — многомиллионной зомби-сети, недавно потерявшей управление благодаря целенаправленным действиям борцов за безопасность интернета.

Задержанные оказались местными жителями без криминального прошлого. Не владея особыми хакерскими навыками, они просто приобрели на подпольном рынке готовый комплект для создания ботнета и воспользовались системой теневых сервисов, чтобы монетизировать результаты его функционирования. Согласно законодательству страны, правонарушителям грозит тюремное заключение на срок до шести лет. Расследование идет полным ходом, ожидаются новые аресты. Сумма ущерба, нанесенного этой группировкой, пока не определена, но, по оценкам, исчисляется миллионами долларов.

Ботнет Mariposa специализировался на краже персональных идентификаторов к веб-аккаунтам и банковских реквизитов. Его боевые порядки насчитывают 12,7 млн. IP-адресов, привязанных к ресурсам 190 стран, а среди жертв числятся половина компаний из списка Fortune 1000 и более 40 крупнейших банков. Ботнет появился в Сети в конце 2008 года, а осенью 2009-го попал под прицел канадских экспертов по сетевой безопасности.

Когда выяснилось, что управляющие центры Mariposa находятся на территории Испании, была сформирована интернациональная рабочая группа по оказанию противодействия. Помимо канадцев и американцев, в ее состав вошли представители Panda Security. К концу декабря при содействии хостинг-провайдеров ботнет удалось обезглавить. Один из его операторов попытался восстановить управление сетью через свой домашний компьютер и даже отомстил обидчикам DDoS-атакой, но только обнаружил себя: обычно связь с командными серверами осуществлялась скрытно, через VPN-соединения.

По отзывам экспертов, червь-полиморфик Mariposa (в классификации ЛК P2P- Worm.Win32.Palevo) выполнен с большим профессионализмом и обладает большой эффективностью. Он распространяется через р2р-сети, USB-накопители и системы мгновенного обмена сообщениями. Содержит функционал бэкдора, способен по удаленной команде загружать другие вредоносные файлы — кейлоггеры, банковских троянцев, компоненты для проведения DDoS-атак.

По свидетельству исследователей, червь постоянно видоизменяется, иногда с интервалом в двое суток. На настоящий момент канадские эксперты насчитали более 200 вариантов этого зловреда. Он все еще присутствует на множестве домашних, корпоративных, университетских ПК, и рабочая группа экспертов начала кампанию по их очистке.

Новости → Зловредные картинки Сергей Голованов опубликовано 27 фев 2010, 15:46  MSK Сюжеты: Ботнеты, Статистика по уязвимостям, LdPinch, Статистика по зловредам рейтинг постинга 0.6

Pinch – одна из легендарных вредоносных программ Рунета. С середины 2003 года этот троянец доставляет регулярные проблемы антивирусным компаниям. Его исходные коды модифицировали и правили многие начинающие злоумышленники, а базы паролей, украденные с его помощью, постоянно появлялись на черном рынке. Не удивительно, что именно этот троянец «всплыл» в одном из прошедших инцидентов, связанных с фотохостингом компании Google.

Логотип программы Picasa,
осуществляющей непосредственную работу
с фотохостингом компании Google