डॉक्टर वेब ने 550,000 से अधिक पॉपपीज़ का एक बॉटनेट खोजा

डॉक्टर वेब विशेषज्ञों ने BackDoor.Flashback ट्रोजन के वितरण का आकलन करने के लिए एक विशेष अध्ययन किया जो मैक ओएस एक्स ऑपरेटिंग सिस्टम को चलाने वाले कंप्यूटरों को संक्रमित करता है। 550,000 से अधिक संक्रमित कार्यस्थल अब BackDoor.Flashback botnet में काम करते हैं, जिनमें से अधिकांश स्थित हैं। संयुक्त राज्य अमेरिका और कनाडा में। यह एक बार फिर "पॉपपीज़" के उपयोगकर्ताओं के लिए खतरों की अनुपस्थिति के बारे में कुछ विशेषज्ञों के बयानों का खंडन करता है।


BackDoor.Flashback.39 ट्रोजन संक्रमित साइटों और मध्यवर्ती टीडीएस (ट्रैफिक डायरेक्शन सिस्टम, ट्रैफिक डिस्ट्रीब्यूशन सिस्टम) का उपयोग करके संक्रमित होता है जो मैक ओएस एक्स उपयोगकर्ताओं को दुर्भावनापूर्ण साइट पर पुनर्निर्देशित करता है। डॉक्टर वेब विशेषज्ञों ने ऐसे कई पृष्ठों की पहचान की है - उन सभी में एक जावा स्क्रिप्ट है जो उपयोगकर्ता के ब्राउज़र में जावा एप्लेट को लोड करता है, जो बदले में एक शोषण करता है। हाल ही में पता चला दुर्भावनापूर्ण साइटों के बीच, विशेष रूप से:

godofwar3.rr.nu
ironmanvideo.rr.nu
killaoftime.rr.nu
gangstasparadise.rr.nu
mystreamvideo.rr.nu
bestustreamtv.rr.nu
ustreambesttv.rr.nu
ustreamtvonline.rr.nu
ustream-tv.rr.nu
ustream.rr.nu
कुछ स्रोतों के अनुसार, मार्च के अंत में, Google के खोज परिणामों में 4 मिलियन से अधिक संक्रमित वेब पेज मौजूद थे। इसके अलावा, Apple उपयोगकर्ता मंचों ने BackDoor.Flashback.39 ट्रोजन के साथ संक्रमण के मामलों की सूचना दी जब उन्होंने dlink.com का दौरा किया।

फरवरी 2012 से शुरू होकर, हमलावरों ने मैलवेयर फैलाने के लिए CVE-2011-3544 और CVE-2008-5353 कमजोरियों का उपयोग करना शुरू किया और 16 मार्च के बाद, उन्होंने एक और शोषण (CVE-2012-0507) का उपयोग करना शुरू कर दिया। ऐप्पल ने केवल 3 अप्रैल, 2012 को इस भेद्यता के लिए फिक्स जारी किया था।

शोषण रिमोट कंट्रोल सर्वर से पेलोड को डाउनलोड करने और संक्रमित "खसखस" की हार्ड ड्राइव पर इसके बाद के प्रक्षेपण के लिए इरादा निष्पादन योग्य फ़ाइल को बचाता है। डॉक्टर वेब विशेषज्ञों ने ट्रोजन के दो संस्करणों का पता लगाया: लगभग 1 अप्रैल, हमलावरों ने BackDoor.Flashx.39 के एक संशोधित संस्करण का उपयोग करना शुरू कर दिया। पिछले संस्करणों की तरह, लॉन्च करने के बाद, दुर्भावनापूर्ण प्रोग्राम हार्ड डिस्क पर निम्नलिखित घटकों की जांच करता है:

/ लाइब्रेरी / लिटिल स्निच
/Developer/Applications/Xcode.app/Contents/MacOS/Xcode
/ एप्लीकेशन / वायरसबेरियर X6.app
/Applications/iAntiVirus/iAntiVirus.app
/Applications/avast!.app
/Applications/ClamXav.app
/Applications/HTTPScoop.app
/ आवेदन / पैकेट Peeper.app
यदि निर्दिष्ट फाइलें नहीं मिल सकीं, तो ट्रोजन एक निश्चित एल्गोरिदम के अनुसार नियंत्रण सर्वरों की एक सूची तैयार करता है, हमलावरों द्वारा बनाए गए सांख्यिकी सर्वर को सफल स्थापना के बारे में संदेश भेजता है, और कमांड केंद्रों का क्रमिक सर्वेक्षण करता है।

यह ध्यान दिया जाना चाहिए कि दुर्भावनापूर्ण प्रोग्राम नियंत्रण सर्वरों के पते उत्पन्न करने के लिए एक बहुत ही दिलचस्प तंत्र का उपयोग करता है, जो कि यदि आवश्यक हो, तो उनके बीच लोड को गतिशील रूप से पुनर्वितरित करने के लिए, एक कमांड सेंटर से दूसरे में स्विच करने की अनुमति देता है। प्रबंधन सर्वर से प्रतिक्रिया प्राप्त करने के बाद, BackDoor.Flashback.39 RSA हस्ताक्षर के अनुपालन के लिए कमांड सेंटर से भेजे गए संदेश की जांच करता है, और फिर, सत्यापन सफल होने पर, यह संक्रमित मशीन पर पेलोड को लोड और लॉन्च करता है, जो प्राप्त में निर्दिष्ट किसी भी निष्पादन योग्य फ़ाइल हो सकती है। ट्रोजन निर्देश।

प्रत्येक बॉट क्वेरी लाइन में नियंत्रण सर्वर के लिए संक्रमित कंप्यूटर का एक अद्वितीय पहचानकर्ता भेजता है। सिंकहोल विधि का उपयोग करते हुए, डॉक्टर वेब विशेषज्ञ अपने स्वयं के सर्वर पर बॉटनेट ट्रैफ़िक को पुनर्निर्देशित करने में कामयाब रहे, जिससे संक्रमित नोड्स की गिनती की अनुमति मिली।

4 अप्रैल तक, बॉटनेट में मैक ओएस एक्स ऑपरेटिंग सिस्टम चलाने वाले 550,000 से अधिक संक्रमित कंप्यूटर हैं। इस मामले में, हम केवल बैकडॉर के इस संशोधन का उपयोग करके बॉटनेट के एक हिस्से के बारे में बात कर रहे हैं। अधिकांश संक्रमण संयुक्त राज्य अमेरिका में हैं (56.6%, या 303449 संक्रमित नोड्स), कनाडा दूसरे स्थान पर (19.8%, या 106379 संक्रमित कंप्यूटर), ब्रिटेन तीसरे स्थान पर (12.8%, या 6854 संक्रमणों) है ), चौथे स्थान पर - ऑस्ट्रेलिया 6.1% (32527 संक्रमित नोड्स) के एक संकेतक के साथ।


BackDoor.Flashback.39 ट्रोजन मर्मज्ञ की संभावना से अपने कंप्यूटर की रक्षा करने के लिए, डॉक्टर वेब विशेषज्ञ मैक ओएस एक्स उपयोगकर्ताओं को Apple: support.apple.com/kb/HT5228 द्वारा ऑफ़र किए गए सुरक्षा अपडेट को डाउनलोड और इंस्टॉल करने की सलाह देते हैं।