Microsoft провела исследование кода Nitol

image

Теги: Microsoft, DDoS

Ботнет Nitol распространяется с помощью загружаемого файла, который содержит DLL модуль.

Корпорация Microsoft провела анализ исходного кода ботнета Nitol, работа которого была недавно прекращена в рамках операции Operation b70. Напомним, что в ходе этой операции сотрудники компании раскрыли схему, при которой злоумышленники распространяют вирус еще на стадии производства компьютеров, и некоторые покупатели в Китае приобретали технику с предустановленным клиентом ботнета.

Анализ экспертов указал, что семейство вирусов Nitol, скорее всего, является частью общего класса инструментов DDoS. Многие варианты этого вируса содержат элементы, скопированные из других вредоносных программ, используемых для организации распределенных атак отказа в обслуживании.

Большая часть обнаруженных в ходе исследования модификаций Nitol содержит два основных компонента: исполняемый загрузчик и компонент библиотеки. При выполнении на системе загрузчик устанавливает DLL, в большинстве случаев извлекая его из собственных ресурсов, и устанавливает его в виде службы или драйвера. Некоторые модули библиотек запускаются сразу после установки путем вызова основной функции DLL из выполняемого компонента, а некоторые запускаются только после перезагрузки.

После запуска компонент библиотеки создает поток и действует как сервер, связываясь с командным (C&C) сервером. Адрес этого сервера обычно записан в файле загрузчика, и в 50% случаев вирусы семейства Nitol подключаются к поддомену 3322.org, который был отключен Microsoft в рамках Operation b70. C&C обычно получают от нового участника ботсети такую информацию, как версия операционной системы, мощность процессора, объем оперативной памяти, а также географическое расположение зараженной машины.

Оператор ботнета может атаковать определенный web-ресурс, используя такие методы DDoS, как SYN-, UDP-, TCP-, HTTP- и ICMP-флуд. Для синхронизации нескольких ботнетов оператор использует простой токен. Также злоумышленник может перевести весь ботнет в «спящий режим», при котором проведение DDoS-атак невозможно.

Помимо проведения DDoS атак Nitol позволяет владельцам ботнета также загружать и выполнять дополнительное программное обеспечение и открывать web-страницы с помощью Internet Explorer. Вирусописатели также позаботились о механизме самоуничтожения, при котором по команде C&C сервера клиент Nitol удаляется с системы.

С исследованием Microsoft можно ознакомиться здесь.


или введите имя

CAPTCHA
jcmax
17-10-2012 17:31:23
Microsoft, Microsoft. да Microsoft сам глюк. проблема заключается в самой архитектуре пусть для начала пусть поставять пароль на систему и настройки и реестр куда нибуть в домашнюю папку уберут и разделят системные настройки и пользовательские настройки.
0 |
Юрий Токарев
17-10-2012 20:27:12
Они ж вроде и так разделены по правам. В 2000ом году ещё Microsoft писала, что сидеть под правами "гордого юзверя" надо, а не выпендриваться под админом. Умный народ сидит под юзверями и без вирьков. Сами тупим, потом на вири жалуемся ))
0 |
ph
31-10-2012 09:51:36
Че то не видно, да под win7 нету доступа к системной ветке реестра, но в пользовательской, так же можно прописать в WindowsNT\Winlogon\shell="какой нибудь баннер.exe", и система так же не работоспособна.
0 |