Эволюция Zeus. Part I

[openkazan]

Уже сколько лет боюсь садиться за Windows, тем более чужой… с моим линуксом как то всё намного проще:)

[nuklearlord]

Пожалуйста, не разводите очередной холивар. А то у меня создается впечатление, что мои статьи читают только люди из мира Linux, для того, что бы в очередной раз убедиться, какое гуано Windows.

[openkazan]

Даже не собирался:) обычный комментарий, со своей точкой зрения.

[Yaris]

Не холивара ради: видел много статей про подобное ВПО под Windows, но ещё не встречал статей про ВПО подобного уровня под Linux. Если у Вас есть ссылки на «где почитать» или Вы сами напишете — с удовольствием почитаю.

[Maldor]

Я думаю (и это только ИМХО), заниматься разработкой подобного ПО под linux нецелесообразно. Доля linux на пользовательских компьютеров очень маленькая. Сил на создание уйдет столько же сколько и на создание версии для винды. В итогде соотношеные выгода\затраты говорит против создания по для linux.

[Maldor]

Как я люблю когда виндо\линукс\мако хейтеры приходят и увидев подобный коммент лезут минусовать карму. Не занимаюсь кармадрочерством, но пишите, хоть если с чем-то не согласны. А так вроде и обплевали и непонятно за что.

[kibergus]

А еще целевые аудитории у ОС немного разные. Никто не мешает под линуксом попросить пользователя установить крутую программу с котятами, запросить у пользователя пароль, вызвать с ним sudo и делать что угодно. Я не виду причин, по которым пользователь, согласившийся на это под виндами не сделает того же самого под линуксом. Но доли таких пользователей скорее всего разные.

[pansa]

судо/рут нужен, если хочется получить полноценный доступ к ОС. Подавляющей части вирусов это не нужно, нужны ваши данные — парольчики, и прочее. А для этого вполне достаточно уязвимости в вашем браузере, запущенном под вашими же правами. Даже меньше — если у вас Ubuntu, например, посмотрите права в ~. Вас не смущает доступ r для others? Да, конечно, все критичные конфиги и каталоги, типа, .ssh закрыты, но возьмите ~Desktop — опять r! А ведь сюда хомячки кладут всё своё ценное. Возьмите сегодняшний бич под винду — энкодеры, с которыми непонятно что делать вообще и как ловить.
Так что мы спокойно живем под линукс, пока он не интересен с т.з. малой популярности у хомячков. Как только понадобится, поверьте, уязвимостей там хватит надолго.

[nuklearlord]

Maldor меня опередил.

[DeeoniS]

Оно там тоже есть, просто ориентированно не на клиентские машины, а на серверные www.opennet.ru/opennews/art.shtml?num=35392

[kibergus]

А еще была серия прикольных вирусов, заражающих столь распространенные нынче домашние роутеры. Основной пут вторжения — bruteforce пароля админки по словарю.

[nolka]

Я однажды в линуксе пытался запустить виндовый вирус под wine — не получилось. Мне только показали окошко с ошибкой, но сам вирь не запустился. Хотя мой друг ради интереса тоже пытался запускать вирь, и у него получилось!)

[Glowfall]

Малварь малвари рознь… Очень часто зловредное ПО опирается на недокументированные особенности ОС, которые могут быть не реализованы в wine.

[merlin-vrn]

К сожалению, в последнее время (примерно года три) Wine настолько развился, что огромное число троянов под ним работают.

[Int_13h]

И все таки первый в истории вирь погрыз в решето именно пингвина *nix :)

[nuklearlord]

Я уж в статье про червь Морриса не стал об этом упоминать — но таки да, вредоносные программы сначала появились под NIX системы.

[merlin-vrn]

Логично, да, в те времена винда была 2.0 и никакого интернета в ней не было. Как и в DOS. А вот вирусов для DOS, рассчитанных на «дискетконет», было полным-полно.

[elw00d]

А сейчас вообще через какие браузеры проникают такие штуки? Только ИЕ? или для других браузеров тоже имеются эксплоиты?

[Alex42rus]

Имеются для всех.

[impass]

В настоящее время, похоже, стало целесообразнее эксплойтить уязвимости в популярных браузерных плагинах — Java, Flash Player, Adobe Reader. Заодно не требуется сильно заморачиваться насчёт разновидностей браузера.

[malanin]

Захватывающе. Война мафиозных IT-кланов =)

[nuklearlord]

Да там вообще, когда читаешь в оригинале на английском — как триллер. Плохо, что рускоязычные аналитики не сводят все кусочки мозаики воедино.

[0dd_b1t]

спасибо Вам за статью — было действительно интересно читать.

[Vokabre]

Уверен, что через полвека про темную сторону IT нашего времени снимут немало фильмов.

[savant]

Для общего развития напишите ещё про вирусы/ботнеты для линуксовых серверов например. Хотя если есть инфа про поражающие клиентские машины, тоже интересно почитать.

[smind]

про ботнеты из роутеров со стандартными логинами/паролями admin/admin слышал, а вот про остальное как то не приходилось…

[darked]

Ага, и куски кода )))

[merlin-vrn]

Это-то как раз вполне реально. Некоторое время назад же утекли исходники Zeus.

[Dzen_Marketing]

В треде уже выложили исходники

[sergehog]

Как вы думаете, Slavik читает хабр?
И вообще, это точно nuklearlord написал топик? Может Славик под его аккаунтом захотел попиариться? Перенесите в блог «Я пиарюсь» :-)

Пользуясь случаем, передаю приветы Slavik-у и его друзьям-подельникам.

[Dzen_Marketing]

А я вот хочу передать Дамраю и Кабану.
Как по мне, так для своего времени было очень популярно и с низким порогом входа

[nuklearlord]

Была мысль и про Pinch ввернуть главу, но как по мне — размах не тот. Хотя идея обхода антивирусной защиты путем эмуляции нажатия пользователем кнопки разрешить — это нечто. Такой примитив — но работает!

[Dzen_Marketing]

ЕМНИП, это было не сразу.
Но как быстрый костыль — годится

[nuklearlord]

Вы мне льстите, я вообще даже не реверсер. Я просто люблю собирать и анализировать информацию.

[ValdikSS]

Кому интересно, то на реддите парень делает свой форк зевса, который распространяется через usenet, может ддосить, майнить биткоины и управляется через Tor.
community.rapid7.com/community/infosec/blog/2012/12/06/skynet-a-tor-powered-botnet-straight-from-reddit

[nuklearlord]

За ним пативэн уже выехал. За вами пока ведется наблюдение =) А за инфу спасибо.

[l0rda]

Славик, чё-то я очкую ©

[nuklearlord]

Ус-па-кой-ся, я так сто раз зевса криптовал =)

[Cupper]

А кто нибудь проводил анализ реализации Zeus или Spyeye, интересно узнать на сколько хорошо он спроектированы и реализованы внутри. Есть ли баги, стабильность работы…

[nuklearlord]

Вот, например. Правда IMHO там много домыслов. И версия древняя относительно.

[impass]

утёкшие исходники версии 2.0.8.9, кому охота поковыряться

rghost.net/42084414

[Ajex]

Баги есть везде, в т.ч. и ботнетах. В какой-то версии Spyeye есть банальная sql инъекция, которая позволяет получить доступ к командному центру и перехватить управление ботнетом.

[Zorkus]

И ведь в полицию не обратишься «у меня угнали ботнет!». Красота.

[hostmaster]

В старых версиях Zeus код С&C был довольно посредственный PHP, по этому нагрузку не держал совсем. Что приводило даже к возникновению паралельного рынка админок совместимых с ботами Zeus но более производительных.