Как стать автором
Обновить
86
0

Пользователь

Golang RPC и все-все-все…

Время на прочтение 6 мин
Количество просмотров 8.3K

Disclaimer: this is not another one gRPC hate article... Oh, wait...

Начнем издалека - знаете, всегда было интересно, а почему, собственно, для golang существует такое большое разнообразие библиотек, для каких-то часто используемых сущностей, как-то - роутеры http (fasthttprouter забыли, как подсказали в коментах) или cache?

С выбором RPC вроде все просто, gRPC - наше всё (вы, кстати, в курсе, что g здесь - это не Google внезапно). Но не тут-то было...

Все просто без ума от Мэри gRPC (нет).

Читать далее
Всего голосов 18: ↑16 и ↓2 +14
Комментарии 3

Shit и меч

Время на прочтение 3 мин
Количество просмотров 35K
Вот смотрю я на всю эту борьбу (антивирусных контор и злобных вир и трояномейкеров) и понимаю — ситуация сродни анекдоту про курицу (а не слишком ли я быстро бегу от петуха).

Поясню, в одном комменте я подсмотрел хорошую фразу: конечный пользователь все равно отдаст свои деньги, либо злоумышленникам, либо за антивирус. Всем, в конечном итоге, правят деньги, привет, капитализм! Никому не выгодно сделать проактивный антивирус, который будет работать без сигнатур — что тогда будут продавать антивирусники? Предвкушая очевидные возражения, уточню: антивирус, работающий без постоянно обновляемой базы правил поведенческого анализа.
Читать дальше →
Всего голосов 116: ↑74 и ↓42 +32
Комментарии 150

Ноль без палочки?

Время на прочтение 15 мин
Количество просмотров 26K
Опубликовано в журнале Хакер #171 (апрель 2013)

Со временем некоторые вредоносные программы становятся своеобразными брендами в среде киберандеграунда. Как правило, они имеют широкое распространение по сравнению с другими вредоносами и используют различные технологичные фишки. К таковым можно отнести семейства Sality, Conficker, Waledac, Zeus, TDL и множество других. Как бы ни боролись с такими угрозами антивирусные компании, как говорится — иногда они возвращаются. В логичности использования раскрученного имени злоумышленникам не откажешь. Разбирая функционал очередной «зверушки», невольно задаешь себе вопрос — а когда это все началось? И выясняется, что и ни год, и ни два назад. Об одном таком семействе и будет рассказано далее.
Читать дальше →
Всего голосов 55: ↑49 и ↓6 +43
Комментарии 5

Больше руткитов — «хороших» и разных. Part II

Время на прочтение 7 мин
Количество просмотров 18K
Начало здесь.

TDL-4


Разработчики TDL продолжают идти в ногу со временем. На этот раз их взор устремился на неохваченные ранее 64 битные системы. В начале августа 2011 года появляется 4 версия TDL с новыми «фишками». Во-первых — появилось разделение рабочих файлов на 32 и 64 разрядные версии. Во-вторых — в очередной раз изменился алгоритм запуска после перезагрузки. Ранее подобный алгоритм применялся в ВПО Sinowal, достаточно известном своими новациями сотрудникам антивирусных компаний. Теперь TDL версии 4 заражал главную загрузочную запись (MBR). Данный способ позволяет ему загружаться раньше операционной системы, сразу после старта компьютера. Таким образом, TDL-4 из руткита «мутировал» в буткит. Как и ранее, компоненты TDL-4 хранились в специальной области жесткого диска размером не более 8 Mb, зашифрованные алгоритмом RC4. Код в MBR передавал управление компоненту ldr16 (из хранилища). После передачи управления ldr16 производил перехват функций работы с жестким диском (ОС еще не загружена). Для загрузки TDL-4 использовалась подмена файла kdcom.dll (путем установки перехватчика на Int 13h и поиска определенной сигнатуры kdcom.dll), который необходим для инициализации ядра операционной системы на стадии загрузки. Вместо kdcom.dll в итоге загружался вредоносный компонент ldr32 или ldr64 (из хранилища) в зависимости от разрядности целевой ОС. Бинарный код ldr32 и ldr64 практически идентичен, так как они скомпилированы из одного исходного кода. Но, кроме разницы в коде, в 64 битных системах, начиная с Windows 2003 x64 (XP x64 и далее Vista, Seven), появилось несколько технологий, направленных на защиту от вредоносного воздействия. Одна из них — Patch Guard, которая отслеживает изменение критических объектов ядра ОС, таких как:

  • таблица глобальных дескрипторов — GDT;
  • таблица дескрипторов прерываний — IDT;
  • таблица дескрипторов системных сервисов — SSDT;
  • некоторые системные файлы, например, NTOSKRNL.EXE, NDIS.SYS, HAL.DLL;
  • служебные MSR регистры STAR/LSTAR/CSTAR/SFMASK.
Читать дальше →
Всего голосов 61: ↑56 и ↓5 +51
Комментарии 12

Больше руткитов — «хороших» и разных. Part I

Время на прочтение 7 мин
Количество просмотров 21K
Порой различия в стиле написания и применяемых принципах работы вредоносного программного обеспечения значительно отличается от образца к образцу. Одни делают ставку на полиморфизм, другие на rootkit компоненту. Особенно в плане развития руткит технологий отличилось семейство ВПО TDL (также называемое TDSS, Alureon, Olmarik, Tidserv). Как известно, новое — это хорошо забытое старое. На заре развития персональных ЭВМ, основную массу ВПО составляли вирусы, которые подразделялись на два класса — файловые и загрузочные (были и комбинированные, например, печально известный OneHalf). Достойным продолжателем дела загрузочных вирусов является буткит TDL-4, хоть и является троянской программой (не способной самостоятельно распространяться). Буткит – слово, образованное из слов бут (boot, загрузочная область) и руткит (rootkit, средство сокрытия признаков деятельности). Но прежде чем стать буткитом, TDL проделал большой путь.
Читать дальше →
Всего голосов 38: ↑35 и ↓3 +32
Комментарии 17

Эволюция Zeus. Теперь и в смартфонах

Время на прочтение 4 мин
Количество просмотров 19K

Смартфоны тоже под ударом


Мобильные устройства переживают свой бум. Рост использования смартфонов, естественно, не мог не повлиять на развитие вредоносного программного обеспечения (ВПО) для этих устройств. По сравнению с персональными компьютерами, планка пользовательской грамотности относительно вопросов информационной безопасности здесь еще ниже. Это открывает для злоумышленников большое поле для преступной деятельности. Простейшим способом увода денег являются вредоносные приложения, отправляющие SMS сообщения на платные номера. Но разработчики Zeus и SpyEye не сидят, сложа руки, и в 2010-2011 годах из-под их «пера» выходят модификации, поражающие своей изощренностью.
Многие, наверное, знают, что одним из популярных способов защиты проведения финансовых операций с использованием Интернета является mTan (mobile transaction authentication number — мобильный код аутентификации транзакций) — специальная последовательность цифр, которая присылается на ваш телефон в SMS при проведении какой-либо операции (транзакции), например, при оплате через WebMoney. Распространение смартфонов тут играет на руку злоумышленникам, разработавшим механизм обхода технологии mTan посредством вредоносных приложений для широко распространенных мобильных платформ.
Читать дальше →
Всего голосов 28: ↑23 и ↓5 +18
Комментарии 117

Коронные фишки вредоносных программ

Время на прочтение 10 мин
Количество просмотров 41K
Развитие информационных технологий сказывается на разработке всего спектра программного обеспечения (ПО). Не обходит оно стороной и вредоносные программы. Можно выделить основные приемы, применяемые при разработке «передового» вредоносного программного обеспечения (ВПО).
Читать дальше →
Всего голосов 70: ↑58 и ↓12 +46
Комментарии 50

Эволюция Zeus. Part II

Время на прочтение 7 мин
Количество просмотров 27K
Начало здесь.

Файловый инфектор


Идея заражения файлов получила свое развитие во вредоносной программе PE_LICAT, обнаруженной Trend Micro в октябре 2010 года. PE_LICAT представляет собой продвинутый дроппер Zeus, его основная функция — загрузка и запуск новых файлов Zeus с удаленных серверов. В исполняемые файлы внедряется 1771 байт вредоносного кода. PE_LICAT использует те же механизмы, что и в Zeus 2.1.0.10 — DGA с идентичным алгоритмом и процедуру проверки подписи загружаемого файла. Подробное описание DGA приведено в отчете Trend Micro «File-Patching ZBOT Variants» pdf, eng).

Вкратце — в DGA используется функция создания хэша из Windows Crypto API. Список доменов формировался при запуске по специальному алгоритму путем хэширования текущей даты и минуты (час не использовался). Кстати, во многих источниках ошибочно пишут то 800, то 1020 уникальных доменов (эти константы действительно используются в алгоритме). На самом деле их было всего 60 в день (минуты умножались на 17 и брался остаток от деления на 1020, 1020/17=60). Хэши переводились в ASCII коды и к ним добавлялись префиксы доменов верхнего уровня .biz, .info, .org, .com, .net, а также строка /forum. Следует отметить, что PE_LICAT не является вирусом в прямом смысле этого слова (как его классифицирует Kaspersky Lab) — он не способен самостоятельно заражать файлы. Запуск процедуры заражения файлов инициирует Zeus из семейства 2.1, получивший название TSPY_ZBOT.BYZ в классификации Trend Micro.
Читать дальше →
Всего голосов 66: ↑59 и ↓7 +52
Комментарии 18

Эволюция Zeus. Part I

Время на прочтение 7 мин
Количество просмотров 39K

Intro


Бот Zeus, пожалуй, один из самых известных представителей вредоносного программного обеспечения. Zeus ведет свою историю с 2007 (или даже 2006) года. Многие ошибочно полагают, что Zeus — просто очередной троян, однако это не так. В действительности, Zeus представляет собой образец так называемого crimeware — программного обеспечения, предназначенного для совершения противоправных действий. В данном случае основное предназначение crimeware Zeus — кража учетных данных, используемых для проведения финансовых операций. По информации аналитиков, он отвечает за 90 % случаев банковского мошенничества в мире.

Другим заблуждением является утверждение о существовании одного огромного ботнета Zeus. На самом же деле Zeus лежит в основе очень большого числа – вероятно, нескольких сотен – различных ботнетов, и все они контролируются разными группировками киберпреступников. Создатели Zeus просто продают его заинтересованным лицам, а они уже с его помощью формируют собственные ботнеты. Таким образом, правильно говорить не о ботнете Zeus, а о ботнетах, созданных при помощи Zeus. Для отслеживания информации о командных серверах Zeus в феврале 2009 года Роман Хюсси (Roman Hussy), швейцарский специалист по компьютерной безопасности, создал сайт ZeusTracker.
Читать дальше →
Всего голосов 88: ↑83 и ↓5 +78
Комментарии 47

Кибервойнушка — Stuxnet, Duqu, Flame, Gauss и все, все, все…

Время на прочтение 4 мин
Количество просмотров 16K
Анализируя «знаковые» угрозы, можно отметить, что с 2010 года были обнаружены следующие вредоносные программы с ярлыком «кибероружие»:
  • июль 2010 — Stuxnet, обнаружен ВирусБлокАда;
  • октябрь 2011 — Duqu, обнаружен Kaspersky Lab;
  • март 2012 — Wiper, Kaspersky Lab обнаружил следы;
  • апрель 2012 — Flame, обнаружен Kaspersky Lab;
  • август 2012 — Gauss, обнаружен Kaspersky Lab;
  • октябрь 2012 — MiniFlame, обнаружен Kaspersky Lab.

В добавок к ним несколько образцов поменьше калибром:
  • июль 2012 — Madi, обнаружен Kaspersky Lab;
  • август 2012 — Shamoon, обнаружен Kaspersky Lab;
  • ноябрь 2012 — Narilam, обнаружен Symantec.

Читать дальше →
Всего голосов 20: ↑13 и ↓7 +6
Комментарии 22

Cyberwarfare — особенности национальной войнушки

Время на прочтение 5 мин
Количество просмотров 7.2K
Тема cyberwarfare (ведения «боевых» действий в киберпространстве, частью которого является сеть Интернет, но не только она) довольно продолжительное время муссируется в различных изданиях и ведомствах стран всего мира, став столь же излюбленной темой, как и концепция сетецентрических войн (network-centric warfare). В качестве ликбеза можно упомянуть, что мероприятия, проводимые в рамках Cyberwarfare, условно можно разделить на информационные и технические. Технические в свою очередь можно разбить на «наступательные» (саботаж), разведывательные (кибершпионаж) и «оборонительные» (выстраивание системы информационной безопасности). Тему информационных мероприятий оставим в стороне, напомнив только, что их суть заключается в том, что бы определенный круг людей (население страны, например) получал большое количество информации (как правило сфальсифицированной или «немножко» подправленной), выгодной заинтересованной стороне, и не получал по настоящему объективной информации. Проведение такого рода мероприятий давно поставлено на широкую ногу — посмотрите хотя бы на свой телевизор или новостные ролики на youtube, а потом подумайте, кто эту информацию формирует и как она на вас влияет.
Читать дальше →
Всего голосов 26: ↑16 и ↓10 +6
Комментарии 8

Morris worm — он был первым

Время на прочтение 6 мин
Количество просмотров 28K
2 ноября 1988 года сеть ARPANET была атакована программой, впоследствии получившей название «червь Морриса» — по имени его создателя, студента Корнельского университета Роберта Морриса-младшего. Сеть ARPANET (Advanced Research Projects Agency Network) была создана в 1969 году по инициативе Управления перспективных исследований Министерства Обороны США (DARPA, Defense Advanced Research Projects Agency) и явившаяся прототипом сети Интернет. Эта сеть создавалась в интересах исследователей в области вычислительной техники и технологии для обмена сообщениями, а также программами и массивами данных между крупнейшими исследовательскими центрами, лабораториями, университетами, государственными организациями и частными фирмами, выполняющими работы в интересах Министерства Обороны США (DoD, Department of Defence of USA). Именно по заказу DoD был разработан один из трех наиболее распространенных протоколов транспортного уровня модели OSI, получивший название TCP/IP, который в 1983 году стал основным в ARPANET. К концу 80-х годов сеть насчитывала несколько десятков тысяч ЭВМ. ARPANET прекратила своё существование в июне 1990 года.
«Червь Морриса» был первым в истории развития вычислительной техники образцом вредоносного программного обеспечения, который использовал механизмы автоматического распространения по сети. Для этого использовалось несколько уязвимостей сетевых сервисов, а так же некоторые слабые места компьютерных систем, обусловленные недостаточным вниманием к вопросам безопасности в то время.
Читать дальше →
Всего голосов 51: ↑43 и ↓8 +35
Комментарии 32

Duqu — вредоносная матрёшка

Время на прочтение 7 мин
Количество просмотров 25K
Введение

1 сентября 2011, из Венгрии, на сайт VirusTotal был отправлен файл с именем ~DN1.tmp. На тот момент файл детектировался как вредоносный только двумя антивирусными движками — BitDefender и AVIRA. Так начиналась история Duqu. Забегая наперед, нужно сказать, что семейство ВПО Duqu было названо так по имени этого файла. Однако этот файл является полностью самостоятельным шпионским модулем с функциями кейлоггера, установленного, вероятно, с помощью вредоносного загрузчика-дроппера, и может рассматриваться только в качестве «полезной нагрузки», загруженной ВПО Duqu в процессе своей работы, но не составной частью (модулем) Duqu. Один из компонентов Duqu был отправлен на сервис Virustotal только 9 сентября. Его отличительная особенность — это драйвер, подписанный цифровой подписью компании C-Media. Некоторые эксперты тут же принялись проводить аналогии с другим знаменитым образцом ВПО — Stuxnet, который тоже использовал подписанные драйверы. Общее количество зараженных Duqu компьютеров, обнаруженными различными антивирусными компаниями по всему миру, исчисляется десятками. Многие компании утверждают, что опять главная цель — Иран, однако судя по географии распределения заражений, этого нельзя утверждать наверняка.
География распределения Duqu
В данном случае следует уверенно говорить только об очередной компании с новомодным словом APT (advanced persistent threat).
Читать дальше →
Всего голосов 52: ↑48 и ↓4 +44
Комментарии 18

Stuxnet и Duqu — есть ли связь?

Время на прочтение 4 мин
Количество просмотров 8.3K
Тема кибероружия сейчас у всех на слуху. Больше всех любят эту тему муссировать эксперты Kaspersky Lab. По их заявлениям все значимые образцы ВПО последних трех лет связаны между собой. Например, Stuxnet и Duqu. Но так ли это на самом деле? Нужно признать, что материал по Stuxnet далеко не полон. Например, отсутствует описание процедуры внедрения Stuxnet на компьютер. Похожа ли она, как заявляют сотрудники Kaspersky Lab, на аналогичную в Duqu? Ответ — не совсем. Но обо все по порядку.
Читать дальше →
Всего голосов 15: ↑12 и ↓3 +9
Комментарии 6

Conficker — из пушки по воробьям

Время на прочтение 8 мин
Количество просмотров 42K
Conficker — семейство вредоносного программного обеспечения, относящегося к категории червей. Conficker — название, наиболее часто употребляемое в прессе и образованное путем перестановки частей домена trafficconverter.biz, к которому обращалась первая версия ВПО, согласно другой версии название образовано от английского слова configuration и немецкого слова ficker (синоним английского fucker). Среди зарубежных антивирусных компаний используется название Downadup, а так же Kido в классификации Kaspersky Lab. Первые образцы были обнаружены в ноябре 2008 года. По состоянию на январь 2009 было поражено около 9 миллионов компьютеров во всём мире. Столь большое число обусловлено использованием для своего автоматического распространения уязвимости службы Server операционной системы Microsoft Windows MS08-067. Следует отметить, что на момент распространения компания Microsoft уже выпустила обновление безопасности, устраняющую данную уязвимость. Однако тот факт, что обычные пользователи, как правило, не уделяют должного внимания механизму постоянного обновления операционной системы (в том числе из-за использования «пиратских» копий), сыграл немаловажную роль. К сожалению, в очередной раз на практике было продемонстрировано пренебрежительное отношение к вопросам компьютерной безопасности. В апреле 2009 года размер ботсети оценивался в 3.5 миллиона.
Существует пять основных модификаций Conficker, обозначаемых буквами A (21 ноября 2008), B (29 декабря 2008), C (20 февраля 2009), D (4 марта 2009), E (7 апреля 2009). В терминологии некоторых антивирусных компаний используется наименования A, B, B++, C, D соответственно.
Читать дальше →
Всего голосов 100: ↑85 и ↓15 +70
Комментарии 41

Что вы знаете о Sality?

Время на прочтение 9 мин
Количество просмотров 52K
Sality — одно из наиболее известных семейств вредоносного программного обеспечения. В своем развитии ВПО Sality прошло несколько стадий.
Первое упоминание о нем датируется июлем 2003 года. В своей первоначальной версии Sality заражал исполняемые файлы путем добавления своего кода, упакованного с помощью UPX. В качестве полезной нагрузки выступал кейлоггер, перехваченные данные отсылались по протоколу SMTP на один из серверов, размещенных в России. Название является производной от английского названия города — «Salavat City» (Салават, Республика Башкортостан). Предположительно прозвище разработчика — Sector — дало название в классификации компании Dr.Web. На тот момент Sality не представлял интереса в техническом плане, автор использовал довольно примитивные механизмы — файловый инфектор был относительно простым по сравнению с другими образцами ВПО того времени, адрес SMTP сервера был жестко задан внутри кода и не мог быть изменен, так же не могла быть изменена полезная нагрузка.
С 2004 по 2008 год автор много работал над усовершенствованием Sality. Значительно изменилась методика инфицирования, а вирус стал полиморфным без изменения точки входа (техника entry-point obscuring), затрудняя тем самым процесс обнаружения и лечения. Вредоносные функции были выделены в отдельные модули, которые могли дополнительно загружаться с ряда URL-адресов, жестко прописанных в коде. Также были включены процедуры противодействия механизмам защиты: блокировка или отключение некоторых межсетевых экранов, утилит и антивирусных программ. Начиная с 2008 года (возможно, конца 2007) автор кардинально изменил схему распространения, вместо заранее заданных адресов, которые могли быть легко заблокированы антивирусными компаниями, был реализован механизм peer-to-peer обновления модулей и загрузки сторонних вредоносных программ для последующего запуска.
Читать дальше →
Всего голосов 75: ↑62 и ↓13 +49
Комментарии 11

И снова о Stuxnet

Время на прочтение 7 мин
Количество просмотров 43K
Описание

9 июля 2010 года специалисты белорусской антивирусной компании «ВирусБлокада» обнаружили в Иране вредоносное программное обеспечение (ВПО), которому было названо Stuxnet. У антивирусных компаний нет единого мнения, когда именно Stuxnet появился, по некоторым данным, распространение происходило уже с января 2009 года. Отличительные особенности:
  • Stuxnet содержит несколько модулей, написанных с использованием нескольких сред разработки и языков программирования;
  • для обхода механизмов антивирусной защиты некоторые модули (драйверы) ВПО имели цифровую подпись, сделанную с использованием сертификатов компаний Realtek и JMicron (предположительно, украденных);
  • несколько способов распространения – посредством USB-Flash накопителей и по сети. В версии 2009 года использовался широко применяемый способ запуска через autorun.inf (который, как правило, отключают из соображений безопасности), в версии 2010 года он был заменен на более эффективный – использование уязвимости обработки ярлыков MS10-046 (zero-day на тот момент). Для распространения через сеть использовались уязвимости MS08-067 (ранее использовалась в 2009 году ВПО Kido, что привело к массовым заражениям) и MS10-061 (zero-day на тот момент);
  • для обеспечения работы производилось повышение привилегий до уровня администратора системы при помощи использования двух локальных уязвимостей (zero-day на тот момент) MS10-073 (Windows 2000 и XP) и MS10-092 (Windows Vista, включая версию x64), таким образом, было предусмотрен нормальный запуск ВПО из-под ограниченных учетных записей;
  • Stuxnet организует свою собственную peer-to-peer (P2P) сеть для синхронизации и обновления своих копий;
  • присутствует функционал, позволяющий пересылать на удаленные сервера управления информацию, найденную на компьютере;
  • необычная «полезная» нагрузка – нарушение нормальной работы системы автоматизации SIMATIC, производимой компанией Siemens, которая обычно используется в различных промышленных системах управления производственными процессами.

Читать дальше →
Всего голосов 82: ↑69 и ↓13 +56
Комментарии 38

Shamoon — что это было?

Время на прочтение 4 мин
Количество просмотров 12K
Компьютерные системы нефтяной компании Saudi Aramco 15 августа 2012 года подверглись атаке, ее подробности не раскрываются. Было сообщено, что компания вернулась к нормальной работе спустя 10 дней. Министр обороны США Леон Панетта 11 октября 2012 года, выступая на конференции по кибернетической безопасности в Нью-Йорке сообщил, что компьютеры компании Saudi Aramco и Катарской компании по произодству газа RasGas были атакованы вредоностной программой Shamoon. Некоторые высокопоставленые лица США утверждают, что Shamoon имеет иранское происхождение, однако прямых доказательств этого у них нет. Правительство Ирана, в свою очеред, настаивает на проведении официального международного расследования атаки Shamoon. Акхаван Бахабади (Mahdi Akhavan Bahabadi) – секретарь Национального центра, который занимается киберпространством Ирана, подтвердил, что, по их мнению, подобного рода высказывания американцев связаны с политическими мотивами, точнее с предстоящими выборами на пост президента США.

Ответственность за атаку на Saudi Aramco взяла на себя хакерская группа «Рассекающий меч правосудия» (The Cutting Sword of Justice), мотивировав свой поступок политическими причинами, обвинив Саудовскую Аравию в организации беспорядков в Сирии и Бахрейне. По непроверенной информации, размещенной якобы инициаторами атаки на сайте pastedbin.com, в Saudi Aramco были заражены более 30.000 компьютеров.

Образцы Shamoon были детально проанализированы сотрудниками Лаборатории Касперского, первая статья вышла 21 августа. Эксперты пришли к выводу, что атака имела точечный характер, образцы не были зафиксированны в KSN (Kaspersky Security Network). ВПО содержит несколько модулей. Внутри одного из них присутствует строка:

'C:\Shamoon\ArabianGulf\wiper\release\wiper.pdb'. Основной функционал программы — деструктивный. Многие Интернет СМИ публикуют неверную информацию, что Shamoon собирает информацию и отправляет ее на удаленный сервер.
Читать дальше →
Всего голосов 46: ↑36 и ↓10 +26
Комментарии 5

Информация

В рейтинге
Не участвует
Зарегистрирован
Активность