Комментарии 42
файл mhddos_proxy_linux_arm64 (MD5: 9e39f69350ad6599420bbd66e2715fcb), загружаемый вместе с определенным Docker-контейнером
Скажите, пожалуйста, "определённый" докер-контейнер - это что-то из публичных и популярных, или какой-то самосбор?
Спасибо за вопрос! Докер-контейнер официальный, распространяемый самими злоумышленниками. Но поставили его неизвестным путём. На устройстве крутился веб-сервис на Go и давно не обновлявшийся Nomad, поэтому предполагаем что контейнер поставили через рцеху в этом оркестраторе, т.к. других точек входа не нашли
почему гтрк вятка первая в списке, случайность?
В чем смысл, Карл? Все лежит в открытом доступе. Честно написано - это для DDOS атак. Вы сомневаетесь, а вдруг не для этого. И вот вы удивляетесь списку. Вопрос, а какой список Вас не удивил бы?
По аналогии подошли к электроподстанции. На ней написано, "не влезай 10 тысяч вольт." Мы не верим, и начинаем в ней ковыряться. В конце рабочего дня, так и не поняли сколько точно тысяч вольт, но установили, что напряжение точно есть и предположили, что может убить.
Хороший вопрос!
Действительно, и так понятно что утилита для DDoS'а, но лично мне интересно, а на какие именно цели она заточена, какие методы защиты авторы применили, и есть ли там ещё что-то интересное внутри. По итогу получился неплохой (по нашему мнению) материал, который может быть интересен в качестве кейс-туториала по анализу вредоносов защищенных таким же образом, или дальнейших модификаций данной утилиты (возможно, более агрессивных в плане закрепления) поэтому и решили поделиться!
А мне показалось, что решение слабое и скорее сделано как учебное пособие, а не как реальное средство для атаки. Но если Вы его разобрали, то более интереснее было бы рассказать о методах борьбы с атаками с помощью этого ПО или рассказать об уязвимых местах этого решения.
По поводу того что инструмент слабый - мне кажется, что разработчики бы с вами не согласились. Да и учебную функцию он не выполняет, вся конфигурация и цели зашиты внутри инструмента и инфраструктуры на github)
Но по поводу других интересных разрезов анализа этого ПО - это Вы верно подметили, спасибо
Смысл в заголовке: они нашли доказательства!
Статья же не называется: "Разбираем DDos Bot на питоне" или "Пример вскрытия PyArmor с картинками"
А как получается эта штука попала на сервер изначально? Какой-то злоумышленник ее туда загрузил через дырявый порт?
Очень крутая статья, спасибо большое, читал как детектив, на одном дыхании)
Спасибо за статью, потрясающая работа.
Здорово! Молодцы.. Очень интересно.
Отличная статья! Спасибо!
Потрясающая работа! Очень круто.
С удовольствием почитал именно про процесс анализа. И было не важно, что из себя представляет подопытный.
Спасибо
В копилку к аналогичным мерзким тварям сюда: https://github.com/open-source-peace/protestware-list
Статья супер!! Очень подробный анализ. Спасибо!
ДДОСилки на питоне... куда мы катимся
Спасибо за расширение эрудиции. Pyarmor то вроде платная вещь, интересно а можно ли извлечь номер лицензии и "вычислить" злодея..
Прочитал на одном дыхании, хоть с питоном не знаком, но все довольно легко читается с Вашими комментариями, отлично и доступно изложен процесс анализа.
Также вдохновился на знакомство с Питоном) ну и конечно ИБ-прям мечта детства, жаль только что войти в данную сферу очень проблематично(
Одной из целей ставил, чтобы было полезно и интересно для тех, кто не совсем в данной теме, так что очень рад видеть Ваш коммент, спасибо!
А про сложность - это чистая правда, но относится и к другим сферам, по себе знаю) Обилие неструктурированной информации входит в противоречие с количеством свободного от работы временем, пытаешься от случая к случаю зачитываться материалом, а на большее уже и не хватает
спасибо, очень любопытно. вообщем есть методы против кости сапрыкина...
Начал читать статью и стал ловить флешбеки. Оказалось, что 30-ого сентября прошлого года помогал другу с анализом DDOS-атаки где использовалась именно эта программа.
Правда мне терпения хватило только расшифровать список целей для атаки, этого хватило для его задач.
Но вы провели колоссальную работу. Отличная статься.
мне бы такое терпение...
Дорогу осилит идущий! На самом деле, если знать изначально куда копать, то всё это проделать не так уж сложно. Но если ничего неизвестно, как было в данном случае - да, придётся запастись терпением и пытаться, пытаться, пытаться...
Говорят это тренируется.. ношением воды в горы, вышкой крестиком и бисером...
Вскрываем средство для DDoS-атак на российскую ИТ-инфраструктуру