Festi - Festi

Festi a rootkit va a botnet uning asosida yaratilgan. Bu Windows oilasining operatsion tizimlarida ishlaydi. 2009 yil kuzi[1][2] birinchi marta Festi ishlab chiqish va sotish bilan shug'ullanadigan kompaniyalar nuqtai nazariga tushdi antivirus dasturi. Hozirgi vaqtda botnetning o'zi taxminan 25000 ta zararlangan mashinalardan iborat, spam hajmi kuniga taxminan 2,5 milliard spam-elektron pochta xabarlariga ega.[3][4][5] Festi 2011-2012 yillarda eng katta faoliyatni namoyish etdi.[6][7] 2012 yil avgust oyidagi so'nggi taxminlarga ko'ra, botnet 250,000 noyob IP-manzilidan spam yubormoqda, bu aniqlangan million IP-manzilning to'rtdan bir qismi spam-xabarlarni yubordi.[8] Festi botnet-ning asosiy funktsiyasi - bu spam yuborish va amalga oshirish kiberhujumlar kabi "xizmat ko'rsatishni tarqatish ".[9]

Tarqatish usullari

Tarqatish PPI sxemasi bilan amalga oshiriladi (O'rnatish uchun to'lov)[10] foydalanish. Antiviruslar tomonidan aniqlanishining oldini olish uchun yuklovchi shifrlanadi[10] bu murakkablashadi imzo asoslangan aniqlash.

Arxitektura

Hammasi botnet arxitekturasi haqidagi ma'lumotlarni biz ESET antivirus kompaniyasi tadqiqotlaridan to'pladik.[10][11][12]Yuklovchi yuklaydi va o'rnatadigan botni o'rnatadi yadro rejimi drayveri ro'yxatiga o'zini qo'shadigan haydovchilar operatsion tizim bilan birgalikda ishga tushirilmoqda. Qattiq diskda faqat buyruq markazi bilan aloqa qilish va modullarni yuklash uchun javob beradigan botning faqat bir qismi saqlanadi. Botni ishga tushirgandan so'ng vaqti-vaqti bilan buyruqlar markazidan konfiguratsiyani, modullarni yuklashni va bajarish uchun zarur bo'lgan ishlarni so'raydi.

Modullar

Antivirus kompaniyasi mutaxassislari tomonidan olib borilgan tadqiqotlardan ESET, Festi kamida ikkita modulga ega ekanligi ma'lum. Ulardan biri spam yuborish niyatida (BotSpam.dll), ikkinchisi "tarqatilgan xizmatni rad etish" (BotDoS.dll) kabi kiberhujumlarni amalga oshirishda. "Tarqatilgan xizmatni rad etish" kabi kiberhujumlarni amalga oshirish moduli quyidagi kiberhujum turlarini qo'llab-quvvatlaydi: TCP-toshqin, UDP-toshqin, DNS-toshqin, HTTP (lar) -flod, shuningdek tasodifiy raqam bilan toshqin paketlari ishlatilgan protokolning chiqarilishi.

"Dan mutaxassisKasperskiy laboratoriyasi "botnetni o'rganish natijasida ko'proq modullar borligi aniqlandi, ammo ularning hammasi ham ishlatilmaydi. Ularning ro'yxatiga paypoq-serverni amalga oshirish moduli (BotSocks.dll) TCP va UDP protokollari, masofadan ko'rish va boshqarish moduli kiradi. foydalanuvchining kompyuteri (BotRemote.dll), uzoq kompyuterning diskida va mahalliy kompyuter tarmog'ida (BotSearch.dll) qidirishni amalga oshiradigan modul, hozirgi kunda ma'lum bo'lgan barcha brauzerlar uchun grabber-modullar vaqt (BotGrabber.dll).

Modullar hech qachon qattiq diskda saqlanmaydi, bu ularni aniqlash deyarli imkonsizdir.

Tarmoqning o'zaro ta'siri

Bot foydalanadi mijoz-server modeli va ishlash uchun botnet konfiguratsiyasini qabul qilish, modullarni yuklash, shuningdek buyruq markazidan ish joylarini olish va ularning bajarilishi to'g'risida qo'mondonlik markaziga xabar berish uchun ishlatiladigan buyruq markazi bilan tarmoqning o'zaro ta'sir protokolini amalga oshiradi. Ma'lumotlar tarmoq trafigi tarkibini aniqlashga xalaqit beradigan kodlangan.

Aniqlash va disk raskadrovka qilishdan himoya

O'rnatilgan taqdirda bot o'chadi a tizim xavfsizlik devori, yadro rejimi drayveri va. tugmachalarini yashiradi tizim registri yuklash va ishlatish uchun zarur, o'zini va ro'yxatga olish kitobi kalitlarini o'chirishdan himoya qiladi. Tarmoq bilan ishlash past darajada bo'lib, antivirus dasturining tarmoq filtrlarini osongina chetlab o'tishga imkon beradi. O'rnatishning oldini olish uchun tarmoq filtrlaridan foydalanish kuzatilmoqda. Bot ostida ochilganligini tekshiradi virtual mashina, tekshirish ijobiy natija bo'lsa, u faoliyatini to'xtatadi. Festi vaqti-vaqti bilan a mavjudligini tekshirib turadi tuzatuvchi va olib tashlashga qodir to'xtash nuqtalari.

Rivojlanishning ob'ektiv yo'naltirilgan yondashuvi

Festi yordamida yaratilgan ob'ektga yo'naltirilgan texnologiya usuli bilan olib boriladigan tadqiqotlarni murakkablashtiradigan dasturiy ta'minotni ishlab chiqish teskari muhandislik va boshqa operatsion tizimlar uchun osonlikcha joylashtirilgan botni bajaradi.

Boshqaruv

Festi botnetini barcha boshqarish veb-interfeys yordamida amalga oshiriladi va brauzer orqali amalga oshiriladi.

Festi orqasida kim turadi

ESET antivirus kompaniyasi mutaxassislarining fikriga ko'ra,[12] amerikalik jurnalist va bloggerga Brayan Krebs,[13] amerikalik jurnalistning so'zlariga ko'ra axborot xavfsizligi bo'yicha mutaxassis The New York Times gazetasi Endryu Kramer,[14] Rossiya razvedka xizmatlariga yaqin bo'lgan manbalardan, arxitektor va Festi botnet ishlab chiqaruvchisi - rus xaker Igor Artimovich.

Xulosa

Xulosa qilib aytish mumkinki, Festi botnet-spam yuborish va "tarqatilgan xizmatni rad etish" kabi hujumlarni amalga oshirish uchun eng kuchli botnetlardan biri bo'lgan. Festi botnetini yaratish printsiplari tizimdagi bot umrini iloji boricha ko'paytiradi, antivirus dasturi va tarmoq filtrlari tomonidan bot aniqlanishiga xalaqit beradi. Modullar mexanizmi turli maqsadlarga erishish uchun zarur modullarni yaratish va yuklash orqali har qanday tomonda botnet funksiyasini kengaytirishga imkon beradi va ob'ektiv rivojlanishga teskari muhandislik usullari yordamida botnet tadqiqotlarini qiyinlashtiradi va boshqa operatsion tizimlarda botni portlash imkoniyati, aniq operatsion tizim funktsionalligi va botning qolgan mantig'ini aniq chegaralash orqali. Festi botini aniqlash va disk raskadrovka qilishga qarshi kuchli tizimlar Festi botini deyarli ko'rinmas va yashirin qiladi. Zaxira buyruq markazlarini bog'lash va ulardan foydalanish tizimi buyruq markazi o'zgartirilgandan so'ng botnet ustidan boshqaruvni tiklash imkoniyatini beradi. Festi namunaviy bo'lmagan namunadir zararli dasturiy ta'minot chunki mualliflar uning rivojlanish jarayoniga o'ta jiddiy yondashishdi.[15]

Shuningdek qarang

Adabiyotlar

  1. ^ Lyuis, Daren (2009 yil 5-noyabr). "Festi Botnet asosiy spam-botnetlardan biriga aylanadi". Symantec Connect.
  2. ^ Kaplan, Dan (6-noyabr, 2009-yil). "Festi botnet paydo bo'ldi". SC jurnali.
  3. ^ Jekson Xiggins, Kelli (2009 yil 6-noyabr). "Yangi spam-botnet ko'tarilmoqda - qorong'i o'qish". qorayish.
  4. ^ Vattanajantra, Asavin (2009 yil 6-noyabr). "'"Festi" og'ir vaznli spam-botga aylanib bormoqda ". ITPRO.
  5. ^ "Botnet Festi ulkan ko'tarilmoqda". SPAMfighter. 2009 yil 18-noyabr.
  6. ^ Kirk, Jeremy (2012 yil 16-avgust). "Spamhaus Grum botnetini o'lgan deb e'lon qiladi, ammo Festi jarrohlik qiladi". Kompyuter dunyosi.
  7. ^ Kirk, Jeremy (2012 yil 17-avgust). "Spamhaus Grum botnetini o'lgan deb e'lon qildi, ammo Festi keskin ko'tarildi". Kompyuter maslahatchisi.
  8. ^ Saarinen, Juxa (2012 yil 20-avgust). "Festi botnet spam hajmini oshirmoqda". IT yangiliklari.
  9. ^ "Festi botnet" DDoS "xizmatidan voz kechish hujumini boshlashga yordam beradi". Hackerlarni to'xtatish. 2012 yil 13 iyun.
  10. ^ a b v Matrosov, Aleksandr (2012 yil 11-may). "Spam qiroli: Festi botnet tahlili". ESET.
  11. ^ Rodionov, Evgeniya (2011). "Festi botnet tahlili va tekshiruvi" (PDF). ESET. Arxivlandi asl nusxasi (PDF) 2013-12-15 kunlari.
  12. ^ a b Matrosov, Aleksandr (2012 yil 12-14 noyabr). "Festi botnet tahlili va tekshiruvi" (PDF). AVAR 2012 yil. Arxivlandi asl nusxasi (PDF) 2013-12-15 kunlari.
  13. ^ Krebs, Brayan (2012 yil 12-iyun). "Festi" botmasteri kim? ". Xavfsizlik to'g'risida.
  14. ^ Kramer, Endryu (2013 yil 2-sentyabr). "Onlayn hujum spam-qutiga kirish uchun olib keladi". The New York Times.
  15. ^ "Festi: zararli va noaniq". Xakep jurnali. 2012 yil sentyabr.

Tashqi havolalar