ValdikSS Apr 19 2014 at 23:25

Кого атакует BillGates?

2 min

47K

Information Security*Reverse engineering*

+88

Comments 19

VBKesha Apr 19 2014 at 23:54

Адреса CnC серверов вшиты намертво? Или он их как то хитро выискивает?

ValdikSS Apr 19 2014 at 23:55

Вшиты. В Gates он закодирован в конфигурационных параметрах (RSA-строка), а в Melinda он тоже закодирован, но очень просто. Обычно, на компьютер попадает 5 или 6 штук Melinda, т.к. один экземпляр умеет работать только с одним сервером.

constnw88 Apr 20 2014 at 00:45

Сейчас, благодаря хабраэффекту, топ атакуемых серверов уйдет в отказ и без ботнета. xD

UFO just landed and posted this here

ValdikSS Apr 20 2014 at 00:53

Обнаружить проще простого — процессы со странными именами занимают 100% канала и процессора.
Избавиться тоже достаточно просто (написано на странице трекера на github), однако, чисто теоретически, у вас может быть руткит (в Bill есть код, который его загружает), однако я не видел его ни на одной машине еще. Так что лучше всего будет переустановить ОС.

+11

pavelodintsov May 2 2014 at 00:24

А разбирались, как руткит повышает полномочия? У нас как раз случай, когда машина получила и билла и мелинду уже с root полномочиями. Подняла она их или просто пароли были компрометированы — не ясано.

JagaJaga Apr 20 2014 at 01:05

Хабр торт :)

ivlis Apr 20 2014 at 05:12

А как он распространяется? Brute force по ssh?

+13

ValdikSS Apr 20 2014 at 09:48

Да, вроде только так.

Godless Apr 20 2014 at 13:51

Только на стандартном порту?

ValdikSS Apr 20 2014 at 13:52

Да.

UFO just landed and posted this here

mickvav Apr 20 2014 at 11:47

То-то я смотрю, количество дерьма, стучащегося в ssh выросло…

marchelly Apr 20 2014 at 15:20

fail2ban перенос ssh на другой порт и iptables доступ только с определенных ip и вход только по ключу.

luckyredhot Apr 20 2014 at 18:33

Зачем так много? Очень параноидально)
В принципе, вполне хватит безопасной настройки ssh и авторизации по ключам + fail2ban. iptables априори должны быть настроены.

mickvav Apr 21 2014 at 00:12

Да знаю, знаю.

ComodoHacker Apr 20 2014 at 14:13

Китайцы атакуют китайцев с территории России.

catharsis Apr 21 2014 at 14:30

механизма распространения внутри нет, заливается централизованно?

ValdikSS Apr 21 2014 at 14:32

Именно так, причем, вероятно, вручную.

Show the best of all time