ИБ-специалисты уничтожили крупный ботнет

ИБ-специалисты уничтожили крупный ботнет

Специалистам компании FireEye несколько дней назад удалось уничтожить ботнет Mega-D, известный также как Ozdok. Ботнетчикам не помогли защитные меры, предпринятые после прошлогоднего закрытия провайдера McColo.

Представитель FireEye Атиф Муштак пояснил, что Ozdok был уничтожен в течение суток. Для этого компании пришлось сотрудничать с провайдерами и доменными регистраторами, что привело к блокировке IP-адресов и закрытию доменов, связанных с контролирующими центрами ботнета. Однако, часть контролирующих центров пока продолжают функционировать.

Владельцы Ozdok предприняли некоторые меры на случай подобных действий. В частности, зомби-компьютеры пытаются связываться с несколькими десятками доменных имён для получения инструкций по рассылке спама. Более 25 из этих доменов ещё не были зарегистрированы, чем и воспользовались сотрудники FireEye, не пожалевшие средств на их регистрацию на себя.

Тем не менее у создателей Ozdok имеется и запасной план. Ежедневно боты генерируют одно доменное имя, с которым пытаются связаться в случае, если все прочие домены не отзываются. Специалисты FireEye, зная алгоритм генерации этих имен, зарегистрировали соответствующие домены на некоторое количество дней вперёд.

Таким образом боты Ozdok в настоящее время пытаются связываться с сервером, который контролируется FireEye. Это, в частности, позволяет грубо оценить размеры ботнета: за одни сутки было насчитано более 260 тысяч уникальных IP-адресов, откуда поступали запросы к перехваченному контролирующему центру.

В M86 Security Labs, занимающейся мониторингом активности ботнетов, говорят, что уровень спама, генерирующегося сетью Ozdok, резко снизился примерно 6 ноября и вчера упал до нуля.

Стоит отметить, что еще в начале прошлого года Mega-D/Ozdok был самым крупным генератором спама, будучи ответственным примерно за треть почтового мусора в мире. С тех пор этот ботнет получил ряд серьезных ударов со стороны киберзащитников.

В середине февраля 2008 года были заблокированы его управляющие компьютеры, однако через десять дней злоумышленники сумели вернуть контроль над этой зомби-сетью. В октябре 2008 года Федеральная торговая комиссия (FTC) убедила суд заморозить активы группы HerbalKing, контролирующей сеть Mega-D.

Через месяц был закрыт калифорнийский хостинг-провайдер McColo, чьи серверы активно использовались спамерами — в том числе и владельцами Mega-D/Ozdok. Летом этого года, когда Mega-D уже давно утратил былую мощь, генерируя лишь около 12% общемирового спама, по ботнету был нанесен новый удар: FTC закрыла ещё одного хостинг-провайдера — 3FN.

После этого активность Mega-D/Ozdok снизилась примерно втрое и держалась на этом уровне вплоть до недавнего времени, когда специалисты FireEye решили полностью уничтожить ботнет.

webplanet.ru 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Более половины атак через уязвимости 0-day проводятся с целью шпионажа

В 2024 году специалисты Google выявили 75 уязвимостей нулевого дня под атакой. На 56% это были дыры в браузерах, мобильных устройствах, десктопных ОС, остальные содержались в продуктах корпоративного класса.

Более половины эксплойт-атак, авторство которых удалось определить, были проведены группировками с господдержкой или пользователями коммерческих продуктов для шпионажа и слежки.

Аналитики особо отметили сдвиг в предпочтениях злоумышленников в пользу продуктов, используемых в корпоративном окружении. Из 33 обнаруженных в них 0-day 20 присутствовали в комплексных СЗИ и сетевых устройствах.

Сокращение числа атак на конечные точки эксперты объясняют успехами вендоров по повышению безопасности браузеров и мобильных устройств, а также эффективностью мер, принимаемых против эксплойта. Примечательно, что три из семи атакуемых 0-day в Android крылись в сторонних компонентах.

 

Между тем использование уязвимостей в бизнес-продуктах Ivanti, Palo Alto Networks (PAN-OS), Cisco (ASA) способно открыть злоумышленникам привилегированный доступ к корпоративным сетям. К тому же надзор за такими системами со стороны традиционных EDR сильно ограничен.

Наиболее часто эксплойту подвергались три типа 0-day: use-after-free, инъекция команд и XSS. Список вендоров, продукты которых засветились в подобных атаках, возглавили Microsoft (26 уязвимостей), Google (11), Ivanti (7) и Apple (5).

Более 45% эксплойтов удалось связать с групповой вредоносной активностью:

 

Цепочки 0-day по-прежнему в основном (~90%) применяются в атаках на мобильные устройства.

Отчет Google Threat Intelligence Group также содержит результаты анализа целевых атак CIGAR, она же UNC4895 or RomCom. В прошлом году она предпочитала использовать связку эксплойтов CVE-2024-9680 (для Firefox) и CVE-2024-49039 (к уязвимости в Планировщике Windows). Этот же тандем чуть позже помог еще одной кибергруппе провести атаку на посетителей сайта новостей криптовалютного рынка.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru