Новости бизнесаСтатьиАналитические колонкиДеньгиКурс валютБизнес технологии
Главная > Новости бизнеса > Hi-Tech > Symantec провела анализ сервера управления шпионским вирусом Flamer

Symantec провела анализ сервера управления шпионским вирусом Flamer

Четверг, 20 сентября 2012 г.

Следите за нами в ВКонтакте, Facebook'e и Twitter'e

Корпорация Symantec совместно с CERT-Bund и «Лабораторией Касперского» провела детальный криминалистический анализ сервера управления атаками W32.Flamer, выявленными этой весной.

W32.Flamer представляет собой комплексное средство кибер-шпионажа, ориентированное, в первую очередь, на страны Ближнего Востока. В рамках проводимого исследования C&C-сервер был запущен 18 мая 2012 г., и примерно через 5 часов после его запуска было зарегистрировано первое взаимодействие с клиентом — компьютером, инфицированном вирусом Flamer. За последующие несколько недель данный исследуемый C&C-сервер получил контроль как минимум над несколькими сотнями аналогичных клиентов, говорится в сообщении Symantec.

Исследование показало, что управление клиентами осуществляется с помощью веб-приложения Newsforyou (дословно с англ. — «новости для вас»). Оно обеспечивает взаимодействие клиентов с C&C-сервером и предоставляет злоумышленнику простую панель управления для загрузки дополнительного программного кода на клиента и скачивания с него похищенной информации. По мнению экспертов Symantec, CERT-Bund и «Лаборатории Касперского», не похоже, чтобы оно было создано исключительно для Flamer — в нём содержится функционал взаимодействия по различным протоколам с клиентами, заражёнными множеством других вредоносных программ. В таблице ниже отражена взаимосвязь между идентификаторами различных вредоносных программ и множеством поддерживаемых протоколов:




Как видно из таблицы, несколько угроз, поддерживаемых данной средой, всё ещё неизвестны. Это, скорее всего, не обнаруженные модификации Flamer, либо совершенно не связанные с ним другие вредоносные программы, полагают в Symantec.

Сервер был настроен так, чтобы записывать лишь минимальные объёмы информации, конфигурация системы предусматривала журналирование лишь необходимых событий, а записи базы данных регулярно удалялись. Файлы журналов невосстановимо вычищались с сервера также на регулярной основе. Всё это было предпринято с целью затруднить расследование в случае непредусмотренного получения доступа к серверу, пояснили в компании.

Однако злоумышленники подошли к делу недостаточно тщательно — остался доступным файл, в котором был отражён весь процесс установки и настройки сервера. Кроме того, по оставшимся в базе данных зашифрованным записям удалось определить, что подключение заражённых клиентов осуществлялось из стран Ближнего Востока. Специалистам Symantec, CERT-Bund и «Лаборатории Касперского» также удалось установить псевдонимы четырёх авторов — DeMo, Hikaru, OCTOPUS и Ryan, работавших над созданием программного кода на разных стадиях и по различным аспектам, начиная ещё с 2006 г.



«Структура проекта отражает четкое распределение ролей между злоумышленниками: одни занимались настройкой сервера (администраторы), другие отвечали за загрузку вредоносного кода и скачивание украденной информации через панель управления (операторы), а третьи обладали ключом для расшифровки полученной информации, — рассказали в компании. — При этом операторы могли совсем ничего не знать о характере украденной информации. Налицо использование злоумышленниками методов фрагментации (разделения на зоны безопасности) для обеспечения защиты информации. Использование подобного подхода характерно, прежде всего, для военных и разведывательных подразделений, хотя ими не ограничивается».

Несмотря на все усилия злоумышленников предотвратить утечку информации в случае получения несанкционированного доступа к серверу, экспертам Symantec, CERT-Bund и «Лаборатории Касперского» удалось обнаружить, что C&C-сервер распространил модуль, содержащий инструкции самоуничтожения Flamer в конце мая 2012 г. — поведение, которое также наблюдалось у инфицированных компьютеров-приманок.

«И, наконец, для доступа к панели управления требуется пароль, соответствующий его хранимому хешу. Несмотря на все предпринятые нами попытки подбора, восстановить пароль из его хеша нам не удалось, — сообщили в Symantec. — Если кто-нибудь может восстановить пароль из нижеприведённого хеша, пожалуйста, свяжитесь со специалистами Symantec через официальный сайт корпорации».

Хеш пароля: 27934e96d90d06818674b98bec7230fa.

Следите за нами в ВКонтакте, Facebook'e и Twitter'e


Просмотров: 220
Рубрика: Hi-Tech
(CY)

Архив новостей / Экспорт новостей

Ещё новости по теме:

18: 41
В Galaxy S8 не будет двойной камеры |
18: 41
Представлены спецификации Bluetooth 5 |
18: 41
Французский видеосервис Molotov привлёк $22 млн от Михаила Фридмана и других инвесторов |
18: 41
Huawei приобрела израильскую компанию Toga Networks |
18: 41
Google назвала самые взрывные видео 2016 года на YouTube |
18: 21
Какие СМС-поздравления на iPhone сами превращаются в открытку |
18: 01
Bluetooth 5 с повышенной в четверо дальнобойностью появится на рынке в ближайшие полгода |
18: 01
Роскомнадзор назвал конструктивной встречу с представителями LinkedIn |
18: 01
«Вопрос с "живостью" трафика стоит довольно остро»: почему programmatic-компании должны проверять качество аудитории |
17: 41
Облако Mail.Ru для iOS и Android переориентировалось на фото и видео |
17: 41
Nintendo Switch показали на шоу Джимми Фэллона |
17: 41
Дом, который всегда с тобой: конструктор жилья из Китая |
17: 41
«Командир всегда обязан продумать худший вариант» — Автор книги «45 татуировок продавана» Максим Батырев о том, почему нужно прорабатывать плохой сценарий |
17: 21
Rockstar Games выпустила Bully для Android и iOS |
17: 01
Из-за тщательного тестирования выпуск безрамочного смартфона Samsung Galaxy S8 могут перенести на апрель 2016 |
17: 01
В Туве найден четвертый обломок космического аппарата «Прогресс» |
16: 41
Samsung представила глянцевый Galaxy S7 Black Pearl |
16: 41
Отхожие места оцелотов: социальная сеть животного мира |
15: 41
Компания Idemitsu Kosan расширит производство материалов для OLED в Южной Корее |
15: 21
Apple выпустила седьмую бета-версию iOS 10.2 для разработчиков |
15: 21
В Питере открылись бесплатные курсы SWIFT от Apple |
15: 21
Проблемы с графикой MacBook Pro исправили в macOS Sierra 10.12.2 |
15: 01
Haven -- система управления Docker |
15: 01
Опубликованы примеры снимков, сделанных объективом Meyer-Optik-Gorlitz 0,95/50 Nocturnus II |
14: 41
Сооснователь Maps.me Юрий Мельничек выпустил приложение для обработки фона фотографий с помощью нейросетей |
13: 21
Объем жестких дисков HGST Ultrastar He12 — 12 и 14 ТБ |
13: 21
Сингапурский предприниматель потратил $500 тысяч на отдых сотрудников на Мальдивах |
13: 01
Нейросеть делает 3D-маску по единственной фотографии |
12: 41
Представлены высокопроизводительные твердотельные накопители HGST Ultrastar SN200 NVMe и Ultrastar SS200 SAS |
12: 21
Final Fantasy XV очень плохо продается в Японии |
12: 21
Sony возвращает к жизни Wild Arms и Arc the Lad |
Новости бизнесаСтатьиАналитические колонкиДеньгиКурс валютБизнес технологии
Rating@Mail.ru
Условия размещения рекламы

Наша редакция

Обратная связь

RosInvest.Com не несет ответственности за опубликованные материалы и комментарии пользователей. Возрастной цензор 16+.

Ответственность за высказанные, размещённую информацию и оценки, в рамках проекта RosInvest.Com, лежит полностью на лицах опубликовавших эти материалы. Использование материалов, допускается со ссылкой на сайт RosInvest.Com.

Skype: rosinvest.com (Русский, English, Zhōng wén).

Архивы новостей за: 2016, 2015, 2014, 2013, 2012, 2011, 2010, 2009, 2008, 2007, 2006, 2005, 2004, 2003