Быстрая эволюция Zeus P2P беспокоит экспертов

Быстрая эволюция Zeus P2P беспокоит экспертов

Разработчик сетевых средств защиты ThreatMetrix Labs опубликовал аналитический отчёт, посвящённый свежим вариантам P2P-трояна Zeus. По мнению экспертов, эта вредоносная программа сейчас получила очень широкое распространение. Последние варианты Zeus используют распределённую систему управления, в которой вообще не существует C&C-серверов, а все команды поступают в сеть P2P напрямую от злоумышленников через один из ботов, после чего распространяются по сети.

Целостность системы соблюдается за счёт криптографической защиты конфигурационных файлов. Эксперты компании ThreatMetrix Labs с горечью признают, что изменение криптографической защиты делает невозможным автоматическое определение нового варианта зловреда существующими антивирусными системами, в том числе бессильна перед трояном и система ThreatMetrix, передает xakep.ru.

«Постоянное изменение шифрования в Zeus P2P вызывает сильное беспокойство, — сообщается в отчёте. — За последнее время мы выявили как минимум шесть разных вариантов».

Другими словами, владельцы ботнета под прикрытием криптографии постоянно внедряют новые векторы атак, в то время как исследователи практически ничего не могут сделать.

В отчёте ThreatMetrix приводятся примеры некоторых новых типов атак, которые удалось обнаружить у ботов Zeus благодаря расшифровке одного из конфигурационных файлов. Анализу подвергся образец Zeus с MD5-хэшем 7ebe4e6f8e5ea5981f4b32cd9465e6a3 (внутреннее название NR30).

Статический анализ показал, что у этого образца 988 функций, из которых 561 присутствует в прошлогоднем коде, и 427 новых, добавленных после ноября. То есть различных разновидностей Zeus происходит очень быстро. Программа подверглась значительным изменениям: по сравнению с оригинальной версией, изъяты все операции по снятию паролей от ftp и покерных сайтов, в бэкдор добавлена новая команда fs_find_by_keyword.

Исследователи показывают, как авторы трояна внесли маленькое изменение в процедуру шифрования конфигурационного файла: теперь он шифруется четырёхбайтовым ключом XOR, который формируется из следующих элементов:

(item length << 0x10) | (0xFFFF & item id) | (BinStorage Count << 8)
По словам экспертов, это заняло у авторов программы пару часов, после чего новый вариант Zeus стал опять невидим для антивирусов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Хакеры, нанесшие ущерб Яндекс Такси на 4,8 млн руб., избежали колонии

Ленинский районный суд Саратова вынес приговор двум хакерам, причастным к мошенничеству, нанесшему «Яндекс Такси» ущерб в размере 4,8 млн рублей. Павел Платонов получил 1 год и 9 месяцев исправительных работ, а Дмитрий Алексеев – 1 год и 6 месяцев.

Жители Саратова, по информации местных СМИ, были задержаны в мае 2024 года. С октября 2022 по февраль 2024 года они использовали уязвимость системы безопасности сервиса, оформив более 3,5 тысячи фиктивных заказов.

Средства от этих операций переводились на личный счёт одного из обвиняемых. Общий ущерб компании составил свыше 4,8 млн рублей.

По данному факту было возбуждено уголовное дело по ч. 4 ст. 159 УК РФ («Мошенничество, совершённое организованной группой либо в особо крупном размере»). В октябре 2024 года материалы дела передали в суд.

Прокуратура настаивала на более жёстком наказании: 4 года лишения свободы для Платонова и 3 года 8 месяцев для Алексеева с отбыванием срока в колонии общего режима.

Однако защита сумела добиться переквалификации обвинения на ч. 2 ст. 159 УК РФ («Мошенничество, совершённое группой лиц по предварительному сговору, причинившее значительный ущерб»), что позволило смягчить наказание.

Судья Светлана Зюзикина приговорила Платонова и Алексеева к исправительным работам. Учитывая, что они провели 9 месяцев под домашним арестом, фактически сроки уже отбыт.

Адвокат Дмитрия Алексеева Денис Веницианов сообщил, что представители «Яндекс Такси» решили не обжаловать приговор.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru