Windows

Pushdo botnet đang phát triển, trở nên kiên cường hơn với nỗ lực gỡ xuống

How to Stop a Vicious Botnet Army I Fortune

How to Stop a Vicious Botnet Army I Fortune
Anonim

Các nhà nghiên cứu bảo mật từ Damballa đã tìm thấy một biến thể mới của phần mềm độc hại Pushdo tốt hơn trong việc ẩn lưu lượng mạng độc hại của nó và có khả năng đàn hồi tốt hơn để kết hợp các nỗ lực gỡ xuống. Chương trình Pushdo Trojan có từ đầu năm 2007 và được sử dụng để phân phối các mối đe dọa phần mềm độc hại khác, như Zeus và SpyEye. Nó cũng đi kèm với mô-đun động cơ spam riêng của nó, được gọi là Cutwail, chịu trách nhiệm trực tiếp cho một phần lớn lưu lượng spam hàng ngày trên thế giới.

Ngành bảo mật đã cố gắng tắt botnet Pushdo / Cutwail bốn lần trong lần cuối 5 năm, nhưng những nỗ lực đó chỉ dẫn đến gián đoạn tạm thời.

[Đọc thêm: Cách xóa phần mềm độc hại khỏi PC Windows]

Trong tháng 3, các nhà nghiên cứu bảo mật từ Damballa đã xác định các mẫu lưu lượng truy cập độc hại mới và có thể theo dõi chúng trở lại Biến thể mới nhất của PushDo thêm một chiều không gian khác bằng cách sử dụng tên miền với thuật toán thế hệ tên miền (DGAs) như một cơ chế dự phòng cho các phương thức giao tiếp lệnh và điều khiển thông thường (C & C), "Các nhà nghiên cứu Damballa cho biết hôm thứ Tư trong một bài đăng trên blog.

Phần mềm độc hại tạo ra hơn 1.000 tên miền không tồn tại mỗi ngày và kết nối với chúng nếu nó không thể truy cập các máy chủ C & C được mã hóa cứng. Vì những kẻ tấn công biết thuật toán hoạt động như thế nào, họ có thể đăng ký một trong những tên miền đó trước và chờ cho các chương trình kết nối để cung cấp các hướng dẫn mới.

Kỹ thuật này nhằm gây khó khăn cho các nhà nghiên cứu bảo mật. các máy chủ kiểm soát và kiểm soát của botnet hoặc các sản phẩm bảo mật để chặn lưu lượng C & C.

"PushDo là gia đình phần mềm độc hại thứ ba mà Damballa đã quan sát trong 18 tháng qua để chuyển sang các kỹ thuật DGA như một phương tiện giao tiếp với C & C của nó ", các nhà nghiên cứu của Damballa nói. "Các biến thể của gia đình phần mềm độc hại ZeuS và phần mềm độc hại TDL / TDSS cũng sử dụng DGA trong phương pháp trốn tránh của họ."

Các nhà nghiên cứu từ Damballa, Dell SecureWorks và Viện Công nghệ Georgia phối hợp nghiên cứu biến thể mới của phần mềm độc hại này.

Ngoài việc sử dụng các kỹ thuật DGA, phiên bản Pushdo mới nhất cũng truy vấn trên 200 trang web hợp pháp một cách thường xuyên để trộn lẫn trong lưu lượng truy cập C & C của nó với lưu lượng truy cập thông thường, Các nhà nghiên cứu cho biết.

Trong quá trình điều tra, 42 tên miền do DGA của Pushdo tạo ra đã được đăng ký và các yêu cầu được thực hiện cho họ được theo dõi để ước tính kích thước của botnet.

"Trong khoảng thời gian gần hai tháng, chúng tôi quan sát thấy 1.038.915 địa chỉ IP duy nhất đăng dữ liệu nhị phân C & C lên hố xí của chúng tôi ", các nhà nghiên cứu cho biết trong báo cáo của họ. Số lượng hàng ngày là từ 30.000 đến 40.000 địa chỉ IP duy nhất (Giao thức Internet), họ cho biết.

Các quốc gia có số lượng nhiễm cao nhất là Ấn Độ, Iran và Mexico, theo số liệu thu thập được. Trung Quốc, thường nằm ở đầu danh sách các bệnh nhiễm trùng botnet khác, thậm chí không nằm trong top 10, trong khi Mỹ chỉ đứng thứ sáu.

Phần mềm độc hại Pushdo thường được phân phối thông qua các cuộc tấn công tải xuống bằng lái xe-Web các cuộc tấn công dựa trên khai thác lỗ hổng trong trình duyệt plug-in hoặc được cài đặt bởi các botnet khác như là một phần của chương trình trả tiền cho mỗi lượt cài đặt được sử dụng bởi tội phạm mạng, các nhà nghiên cứu cho biết.