вопрос по теме: как удалось реализовать такой геотаргетинг? троян сам выясняет положение? или Украина отделилась великой стеной? подробностей не сообщают?
Если это TDSS (см мой коммент ниже), то некоторые его разновидности действительно определяют, где они запустились. Только тот экземпляр что я видел, наоборот в странах бывшего союза не хотел работать.
авторов не на кол, а завербовать в службу безопасности…
а то пересажают умные головы на кол, а потом в службах дауны сидят, которые под носом не могу дыры найти. (это я о недавних событиях с утечкой данных в пендостане)
Ога-ога. Вот теперь представьте, что вам предложили заниматься той же работой, который вы занимаетесь сейчас за зарплату в 2-3 раза меньше нынешней. Но в государственных органах. Вы пойдете? Я — нет. Зачем троянописателям работать за гроши, хоть и легально?
Будучи глокой куздрой с планеты Blah-blah, что бы вы предпочли? Сожрать хламездрию или быть матумбированным? Вот так же и я не могу знать, что бы я предпочел, поскольку не являюсь троянописателем. Если бы меня сейчас позвали работать в отдел R/К, я бы скорее всего не пошел.
Учите великую могучую английскую езыку: «This command instructs the bot on the infected computers to download and execute a Trojan horse. As indicates on the VirusTotal report below, only 4 out of 39 Anti-Virus products detected this Trojan.»
Эта команда инструктирует бота на инфицированной машине скачать и выполнить Трояна. Как показано на отчете с VT ниже, только 4 из 39 вендоров детектят этот Троян". Речь идет не про бота и не про его инсталлер, а про то, что он качает.
Судя по отчету с VT, качает он Trojan.MulDrop.30784. С вероятностью в 90% дальнейшее будет именно про тот файл, отчет о котором на скриншоте.
Дроппер после запуска «стоит на паузе» несколько минут, потом дропает Trojan.Siggen.2180 по нашей классификации, который на самом деле Trojan.Blackmailer (http://news.drweb.com/show/?i=298&c=5&p=0). По ссылке и его скриншоты есть.
Исследователи упоминают SENEKA. Если они не ошиблись, и SENEKA действительно имеет отношение к этому ботнету, то этот ботнет — TDSS (http://news.drweb.com/show/?i=278&c=5 + v-martyanov.livejournal.com/2107.html). Сервера находятся действительно в Украине, многие — в Одессе. Некоторые сервера и в Прибалтике есть. Появился ботнет, наверное, летом 2008-го, в июле-августе.
Нада предложить ботостроителям делать отчисления дяде Билли за такую чудесную площадку для работы. Очень странно, что не нашлось умельца, который бы прикрутил боевую часть ради интереса.
Прикрутить боевую часть авторам — дело не хитрое. Отсылается запрос на Прибалтийский сервер, оттуда приходит ответ с шифрованными файлами и командами для их инсталляции. А уж подсунуть не очередной спамбот, а бота для атак — это на усмотрение авторов.
Когда наконец Windows перестанет быть такой дырявой и ее будут обновлять чаще? Когда наконец пользователи не будут работать от прав администратора? Или это так специально задумано для того чтобы было выгодно писать антивирусы?
Вы пробовали ставить такие популярные программы как ICQ, M$ office, Miranda, QIP из под простого пользователя, которому доступ в системные каталоги закрыт? Тогда вам должен быть очевиден ответ на ваш вопрос.
Глупости. Не дело это юзера. Настройко ОСи должен заматься специалист. А если в настройках нифига не понимаеть, так нечего туда и лезть, а если что-то и подхватил, то сам себе буратино… А ОСей который не требуют настройки нет (даже Live CD кто-то настраивал, да и нужно знать, что в BIOS нужно жмакать, что бы комп начал грузиться с сидюка).
Конечно. Если себе самолично установить троян, то он будет отлично работать :-) Тут надо искать проверенный источник программ, откуда попало ставить, думаю, не стоит.
Кстати, у нас в оффисе уборщица по ночам так убиралась, что у меня двва раза корневая ФС etx3 сыпалась. Я не знаю как ей это удавалось. Наверное включала и выключала.
Да уж, уборщицы они такие! У меня на работе iMac ну и соответственно клава/мышь — USB + хаб USBшный с всякими проводами. Дык регулярно прихожу на работу и все провода отключены. Хорошо хоть она их не выбрасывает :)))
А у меня на работе провода проложены в коробах, не Legrand, в китайских таких коробах, на высоте 30 сантиметров от пола. И вся хня типа мышино-клавишных шнурков подвешена так, что уборщице шваброй их не зацепить. А если зацепит, то будет сразу и однозначно понятно, что она играла высоко поднятой шваброй (Россия — вперёд!). И системники стоят не на полу, а уж про «серверы» и говорить нечего.
И да, у меня на работе iPC и я не такой безалаберный.
В линукс это врядли. Мы тут привыкли ставить ПО их репозитария дистрибутива, в нем все пакеты подписаны ЭЦП. А если не через репозитарии, то он ругается =) Тут уж однозначно юзер будет сам себе злобный буратино. Это у окнеюзеров принято качать хз что, хз откуда. И ставить это из под админа.
Нынче в репах всех приличных (debian, gentoo, redhat\centos, fedora) есть все (ну ладно, почти все) что может понадобиться. А уж софт, нужный обычному юзеру — весь.
Тем более софт под Линукс не ограничен одной распиаренной маркой, и на каждую задачу существует десяток различных реализаций. Уж хоть одна — железно есть в любом дистре.
Ну вот скачали вы в венде игру какую-нить, проверили ее sigcheck'ом. Он выдает буквально следущее:
Signers:
Media Code, Inc
UTN-USERFirst-Object
Signing date: 11:47 24.04.2009
То есть у файла подписан ЭЦП и она корректна. Вы запустите этот файл?
Если запускать всякую дрянь из-под рута — разумеется. Я Вам хоть сейчас кучку весёлых штучек могу «нарисовать», которые хряпнут Линукс тем или иным способом, будучи запущенными от рута.
Естественно, программы ставятся от рута, но фишка в том, что в Линуксе подавляющая масса софта ставится не фиг понять откуда, а из официального репозитория, и каждый пакет подписан.
Миранде-то доступ в системные каталоги зачем?
Кстати, ее и ставить-то можно простым копированием…
Тут, скорее, вопрос в том, нахрена к куче софта, способного работать из-под пользователя и без всякой хитровывернутой установки, непременно прикручивают эту установку и непременно хотят чем-нибудь поднасрать в те самые каталоги, куда закрыт доступ пользователю.
Почти все игры новые защищены. Защита реализуется драйвером. Драйвер без прав хрен поставишь. Поэтому рут-права просит моментально. Про steam — отдельная песня. Ну и найдутся долбоёбы гении, которые поставят панельку летитбита (вырезано, много, нецензурно). Потому что там много вареза и прочего говна складируют говносайтики, имеющие с этого копеечку. Вот собственно… Большинство windows-проблем с безопасностью заключаются в пресловутом «ПЕМСИМ».
Хорошо бы всем этим защищателям руки отстричь садовыми ножницами по суставам. С трансляцией процесса по телевидению.
Потому что толку от этой «защиты» никакого, один геморрой, причем не т.н. «пиратам», а как раз тем, кто лицензионку купил.
Донесите это до правообладателей, ага. Главная цель — отсрочить выход пиратки на 3-4 дня, чтобы успеть продать «заждавшимся» самый лакомый кусок — первые экземпляры, причем лицензионные. Это уже потом расчет на мультиплеер, патчи, ачивменты и прочую вкуснятину только для лицензионщиков.
Но, учитывая временную шкалу этих операционок, по этой стаистике видно, что чем больше времени сервис пакам, тем больше находят в них дыры. В чём же в ней смысл?
Нет, UAC в Vista приемущественно создает гемор пользователю, а не наоборот. Vista точно также подвержена вирусному заражению, как и XP, UAC не спасает.
Вот вы кстати ни разу неправы насчет того что Vista точно также подверажана вирусному заражению, я не сторонник этой системы, однако микрософт «как ни странно» все же делает шаги по защите своих систем.
так например в висте IE запускает все файлы с правами плагинов (т.е. эксплоит который работает через IE будет запускать файлы с такими же правами), а они фактически — никакие, никуда кроме папки Temp ты ничего не запишешь :) поэтому как минимум злоумышлиникам придется искать еще и эксплоит на повышения прав.
в Windows7 же вообще обещали полную виртуализацию исполняемого кода, а это уже намного круче чем те эмуляторы которыми сейчас оснащают антивирусы.
з.ы. И не нужно меня минусовать за мной ник >:], регистрация была внезапна, я раскаялся, письмо о просьбе смены ника я уже писал администрации.
Зачем эксплоит на повышение прав? BHO, ака плагин к IE, может делать много чего. Начиная от блокировки сайтов с просьбой отправить SMS, заканчивая сбором конфиденциальной информации и отправки ее злоумышленникам. Хватит ли прав для установки BHO у приложения, которое будет запущено при эксплуатации уязвимости в IE — это вопрос…
Не хватит, любое приложение запущеное через IE будет с правами гостя.
Так что, для висты нужно таки два эксплоита.
Другое дело, что как не странно многие используют FireFox под вистой и срабатование одного и того же эксплоита (например для Adobe Flash или PDF) даст зеркальный результат.
Поэтому и хотели (по крайней мере раньше) интегрировать в Windows 7 виртуализатор кода, который в отличии от эмуляторов встроеных в антивирусы этого поколения имеет очень много плюсов. однако, это как вы сами прекрасно знаете — не панацея… ибо сендбоксы уже и сейчас есть.
однако баги (да и эксплоиты) в них все равно остались.
Это война никогда не закончится :) впрочем это не мне вам рассказывать, передаю привет доктору пауку ;).
Очень интересно как они держат такой ботнет… с учетом онлайн процентов 10%(хотябы) это 200к ботов онлайн
если они пингуются раз в 10 мин… то в минуту 20к ботов, или 333 в секунду…
Одно неверное движение, конечно же, может привести как к смерти человека, так и к его рождению, но в случае некоторых ОСей для того, чтобы что-то подцепить, не нужно совершать вообще никаких движений, всё происходит без участия юзера.
Ой, правда? Все текущие desktop-версии? А чем «desktop-версия» Linux отличается от «server-версии» Linux (кроме набора установленного софта), не подскажете? :)
Что же касается софта — в «desktop-версии» куда меньше софта, общающегося с сетью, и уязвимости, найденные в mail-/ftp-/nfs-/dhcp-/http-/и прочих серверах к «desktop-версии» не относятся, потому что вся эта братия в «desktop-версии» просто не установлена. Так что безопасность будет выше ;)
Правда, у нас с вами уже была «беседа» (http://habrahabr.ru/blogs/windows7/49306/#comment_1286449) на тему безопасности, где приведены все необходимые ссылки, и любой желающий может убедиться, в том что уязвимости, через которые можно получить доступ к системе, без участия пользователя за ней сидящего существуют на любой desktop-версии.
Помимо Linux существуют и другие ОС (сюрпрайз?), некоторые из которых четко делятся на desktop и server версии и различаются как минимум версией ядра (например Windows — сюрпрайз2?).
> Что же касается софта — в «desktop-версии» куда меньше софта
Ой, правда? хотя уже наличие на десктопе почтового клиента и браузера достаточно для того, чтобы воспользоваться их уязвимостями и повалить машину (ведь мало кто на сервере проверяtт почту и серфит по интернету?).
Кстати, как то быстро у вас точка зрения изменилась — пару месяцев назад вы уверяли меня что в православной ОС не существует уязвимостей и что вирусы ей не грозят. А сегодня у вас во всем виноваты тупые юзеры и вы сами готовы писать для них штучки, которые «хряпнут» ОС ко всем чертям. Это так повлиял найденный ботнет из маков? или написанный эксплоит для udev?
>Помимо Linux существуют и другие ОС (сюрпрайз?), некоторые из которых четко делятся на desktop и server версии и различаются как минимум версией ядра (например Windows — сюрпрайз2?).
Следите, пожалуйста, за контекстом (тем более Вы сами его задали): Вы сказали «все текущии desktop-версии операционных систем» — я попросил прояснить данный термин применительно к одной из них. Про другие я (сюрприз?) и так в курсе, поэтому спросил конкретно про эту.
>Кстати, как то быстро у вас точка зрения изменилась — пару месяцев назад вы уверяли меня что в православной ОС не существует уязвимостей и что вирусы ей не грозят.
Очень хотелось написать «ЛПиП», но ограничусь только первым: ложь.
Требую ссылку на то, как я утверждаю, что в какой-то «православной ОС» не существует уязвимостей.
> я попросил прояснить данный термин применительно к одной из них
не думал, что придется разжевывать общепринятый термин: Windows Home — Windows Server, Mac OS X — Mac OS Server, Ubuntu Desktop Edition — Ubuntu Server Edition, неужели непонятно что я имел ввиду?
> Требую ссылку на то, как я утверждаю, что в какой-то «православной ОС» не существует уязвимостей.
ну далеко ходить не надо (хотя ссылка в моем комментарии все же есть):
>но в случае некоторых ОСей для того, чтобы что-то подцепить, не нужно совершать вообще никаких движений, всё происходит без участия юзера.
исходя из этой фразы — существуют какие-то ОСи, в которых чтобы подцепить что-то необходимо как минимум участие пользователя, т.е. по другому никак. Можно заключить, что они не обладают уязвимостями, которыми можно воспользоваться удаленно или без вмешательства пользователя. Может быть приведете в пример desktop-версии (теперь этот термин ясен, да?) ОС без таких уязвимостей (желательно чтобы дистрибутив ОС вышел не позднее 2008 года)?
>Ubuntu Desktop Edition — Ubuntu Server Edition, неужели непонятно что я имел ввиду?
Понятно, как божий день. Именно поэтому и был задан вопрос: чем отличается Ubuntu Desktop Edition от Ubuntu Server Edition кроме установленного софта?
Вот уж не думал, что в этом простом вопросе что-то может быть непонятно… =\
>исходя из этой фразы....
А теперь цитирую: "пару месяцев назад вы уверяли меня что в православной ОС не существует уязвимостей и что вирусы ей не грозят".
Я не думал, что мне придётся разжёвывать Вам Ваши же заявления. Прочитайте, пожалуйста, Ваше заявление, взятое мной в кавычки, и предоставьте подтверждение с учётом выделенного жирным.
Только прошу Вас, оставьте Ваши собственные домысливания при себе. Только цитаты про то, как «я уверял», без всяких «исходя из этого», «можно заключить» и прочего. Вон у нас некоторые мастера заключают, что «секретарша шлёпает по клавишам, программист шлёпает по клавишам, следовательно секретарша — программист!»
Заключайте всё, что Вашей душе угодно — только не приписывайте это мне, хорошо?
>чем отличается Ubuntu Desktop Edition от Ubuntu Server Edition кроме установленного софта?
если вы хотите поговорить об этом — то вам на форумы убунту, если они ничем кроме установленного софта не отличаются — да ради б-га, я в своей фразе про серверные версии не говорил.
>Ваше заявление, взятое мной в кавычки, и предоставьте подтверждение с учётом выделенного жирным.
к сожалению, конкретно этого я сделать не смогу, т.к. наша беседа проходила в январе, т.е. больше чем 2 месяца назад. Ай-ай-ай, но надеюсь смысл слова «утрировать» вам знаком.
Знаете, существует такая вещь как логика. Т.е. если известно, что все крокодилы зеленые, то черный зверь — не крокодил. Вот последний абзац в моем комментарии содержит логическую цепочку выводов сделанных из вашей фразы, потому что «некоторые» — не есть все. И мои личные доводы здесь не причем, если вы нашли ошибку в моих логических выводах — укажите, пока только отмалчиваетесь и не хотите мне приводить пример «сферической ОС в вакууме».
И да, с помощью той же самой логики, можно сделать интересные выводы исходя например из фразы: «Самый страшный вирус — это sudo rm -rf /». Такие дела.
Так много слов, а подтверждения заявлению «пару месяцев назад вы уверяли меня что в православной ОС не существует уязвимостей и что вирусы ей не грозят» как не было — так и нет.
>… пока только отмалчиваетесь и не хотите мне приводить пример «сферической ОС в вакууме»
Во-первых, о «примере сфрической ОСи в вакууме» речи не шло. Во-вторых, я Вам с лёгкостью расскажу, чем по моему мнению отличаются Windows и Linux с точки зрения безопасности (даже с учётом того, что обе подвержены уязвимостям), НО только после того, как Вы наконец-то потрудитесь, как говорится, «ответить за базар».
> я Вам с лёгкостью расскажу, чем по моему мнению отличаются Windows и Linux с точки зрения безопасности (даже с учётом того, что обе подвержены уязвимостям)
Э нет, это я уже слышал, мой вопрос был в другом. Дискуссия перешла в разряд «пацан, ты за слова не отвечаешь, поэтому я тебе ничего не скажу», поэтому я предпочту закруглиться. До свидания.
99% что там ссылка forum.web-hack.ru/index.php?showtopic=2104
Но такой темы нет (либо скрыта), в любом случае четырехзначные номера постов там не актуальны уже 6 лет.
Уверен, что если покопаться можно найти еще нестыковки.
Ну какбэ не факт, что они получили доступ к панели управления, они могли написать свой софт, который имитирует работу клиента и на основании этого понять, какие команды даются ботам. Ну и доступ к админкам получить можно ;-)
Украинский мега-ботнет