Carberp, फेसबुक और ddos.plug

हमने पहले से ही एक से अधिक बार कार्बप के बारे में लिखा है, लेकिन यहां फिर से नागरिकों ने खुद को दिलचस्प गतिविधि से अलग किया। सबसे पहले, पिछले हफ्ते ट्रस्टीयर के विश्लेषकों द्वारा एक दिलचस्प बात पर ध्यान दिया गया था कि एक निश्चित कॉन्फ़िगरेशन के साथ, कारबर्प ने फेसबुक में लॉग इन करने के लिए संक्रमित उपयोगकर्ताओं से धन निकालना शुरू किया।



और इसके अलावा, उसने उकैश के माध्यम से 20 यूरो के भुगतान की बहुत दृढ़ता से मांग की:



विचार थे कि एक नया संशोधन हो सकता है, लेकिन नहीं, केवल एक विशेष कॉन्फ़िगरेशन फ़ाइल जिसमें फेसबुक के लिए इंजेक्शन हैं। यह कॉन्फ़िगरेशन फ़ाइल इस तरह दिखती है:



इसके अलावा, इस संशोधन में बूटकिट कार्यक्षमता का उपयोग नहीं किया गया, लेकिन इसे अनुरोध पर स्थापित किया जा सकता है। सिस्टम प्रक्रियाओं में लागू मॉड्यूल का विश्लेषण करते समय, यह स्पष्ट हो गया कि इस लाइब्रेरी के लिए कोड लगभग उसी के समान है जिसे बूटकिट के साथ तुरंत वितरित किया गया था। फेसबुक की यह गतिविधि हमारे लिए थोड़ी शर्मनाक थी, क्योंकि इससे पहले, कारबर्प को विदेशी सेवाओं और बैंकों के लिए कोई बड़ा प्यार नहीं था। फिर भी, निम्नलिखित विदेशी बैंकों पर पहले के हमलों को देखा गया था: बैंक ऑफ अमेरिका, सिटीबैंक, एचएसबीसी, चेस, नॉर्डिया। शायद यह सब से बहुत दूर है, लेकिन कम से कम जो मैंने व्यक्तिगत रूप से कॉन्फ़िगरेशन में देखा था वह याद किया गया था। स्थिति के आगे के विश्लेषण के बाद, यह विचार उत्पन्न हुआ कि क्या कार्बेर ने हाल ही में अपने वितरण वेक्टर को बदल दिया था। यहाँ हमारे क्षेत्र में हिरासत के आंकड़े दिए गए हैं:



जैसा कि उपरोक्त आंकड़ों से देखा जा सकता है, दिसंबर पिछले साल पीक महीना था, लेकिन जनवरी में जमीन नहीं खो रही है (यह देखते हुए कि डेटा इस सप्ताह की शुरुआत में दिया गया है)। जाहिर है, Carberp + ब्लैकहोल बंडल अभी भी बहुत प्रभावी है। क्षेत्रीयकरण के दृष्टिकोण से, हमारे क्षेत्र ने घटनाओं की संख्या में केवल अपना हिस्सा बढ़ाया है:




और यदि आप निर्देशिका को ताजा वेब इंजेक्शन के साथ देखते हैं, तो वे अभी भी रूसी भुगतान प्रणालियों और बैंकों के उद्देश्य से हैं:



खैर, मिठाई के लिए, हमने एक दिलचस्प प्लग-इन (Win32 / Mishigy.AB) की खोज की, जिसका उद्देश्य DDoS हमलों को लागू करना है। बहुत अधिक वास्तव में सक्षम नहीं है: HTTP / HTTPS, GET / POST और बाढ़ डाउनलोड करें। यह प्लगइन डेल्फी में लिखा गया है और मुख्य रूप से Synapse TCP / IP लाइब्रेरी घटक की कार्यक्षमता पर आधारित है। कुछ स्थानों पर यह पिछले साल के एक सनसनीखेज बॉट डर्ट जम्पर (Win32 / Delf.PYI) की याद दिलाता है, लेकिन इसका डिज़ाइन बहुत सरल है। डीडीओएस हमलों को रोकने के लिए एक प्रणाली का मुकाबला करने के एक आदिम तरीके के लिए, उपयोगकर्ता एजेंटों के साथ कई लाइनों का उपयोग किया जाता है:



कई संक्रमित उपयोगकर्ताओं के लाखों लोगों के साथ, यहां तक ​​कि इस तरह के एक सरल DDoS बॉट कार्यान्वयन एक बहुत ही गंभीर हथियार हो सकता है।