Новая версия Citadel стала незаметной для виртуальных сред

Ксения Ренселаева 28 Июня 2012 - 22:53

Общее

Средства криптографической защиты информации

Средства управления информационной безопасностью

Вредоносные программы

Трояны

...

Эксперты в области безопасности компании S21sec сообщили о появлении новой версии трояна Citadel. Помимо всего прочего, троян получил улучшенный алгоритм шифрования, а также функцию обнаружения наличия работающих виртуальных сред, например, песочницы.

Согласно сообщению, наиболее интересной, среди добавленных, является функция «антиэмулятор». После запуска, троян проверяет компьютер на наличие работающих виртуальных сред, например, CWSandbox, VMware или Virtualbox. В случае если таковые процессы запущены, троян создает ложный домен и пытается установить с ним связь. Это, по мнению специалистов, сделано для того, чтобы направить исследователей по ложному пути, имитируя отключенный сервер. Однако, если результаты проверки отрицательны, вредоносная программа устанавливает связь с реальным удаленным сервером.

Вдобавок к этому, создатели снабдили свое детище улучшенным алгоритмом шифрования RC4, с помощью которого во время сеанса связи шифруется весь сетевой трафик. Вирусописатели учли уязвимость этого алгоритма и добавили к нему внутренний хэш.

По словам исследователей, во время процесса шифрования потока данных, помимо обычных операции сложения по модулю 2 (XOR - операций) в алгоритме RC4, при каждой следующей итерации к полученному значению последовательно добавляются дополнительные символы, которые также были вычеслены по XOR функции.

Иными словами, внутреннее шифрование заключается в том, что к основному значению посредством XOR -операции, добавляется дополнительная последовательность чисел, которая также прошла XOR процесс.

Таким образом, новая версия не будет поддерживать соединение с предыдущими версиями бота, считают в S21sec. Более подробные результаты вредоносной программы исследований представлены в блоге компании.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Екатерина Быстрова 13 Февраля 2025 - 09:40

Уязвимости сайтов Домашние пользователи Корпорации Google

В YouTube закрыли лазейки, раскрывающие почту пользователей

Google устранила две уязвимости, которые в связке позволяли раскрыть адреса электронной почты пользователей YouTube. Для тех, кто пытался использовать видеохостинг анонимно, это была серьёзная проблема.

На бреши обратили внимание исследователи Brutecat (brutecat.com) и Натан (schizo.org). По их словам, YouTube и API Pixel Recorder можно было использовать для получения идентификаторов пользователей и конвертации их в имейлы.

Поскольку платформой пользуются многие активисты и информаторы государственного уровня, эксплуатация описанных уязвимостей может угрожать раскрытием их личностей.

Первую часть этого вектора атаки выявил Brutecat после изучения API Google Internal People. Как обнаружил исследователь, функциональность «blocking» требует обфусцированные данные Gaia ID и отображаемое имя.

Gaia ID — уникальный внутренний идентификатор, который Google использует на всех своих веб-ресурсах. Этот идентификатор предназначается исключительно для использования внутри проектов интернет-гиганта и не должен «торчать наружу».

После ряда тестов Brutecat выяснил, что при попытке заблокировать кого-либо в чате на YouTube платформа раскрывает обфусцированный Gaia ID пользователя. Это происходит в ответ на API-запрос /youtube/v1/live_chat/get_item_context_menu.

Зашифрованные base64 данные при раскрытии как раз выдавали идентификатор:

Модифицируя упомянутый вызов API, Brutecat смогут получить Gaia ID любого канала на YouTube, включая тех, кто пытался скрыть свои данные. После этого специалисты начали думать, как добыть имел при наличии идентификатора Gaia.

Тут в дело вступил Натан, который нашёл Pixel Recorder — API, позволяющий конвертировать Gaia ID в адрес электронной почты.