Threat Intelligence по-русски
🕸 Ботнет, который прожил больше 20 лет, наконец отключили
Есть вредоносные кампании, которые живут несколько недель. Есть — несколько лет.
А есть Sality.
Первые версии этого malware появились ещё в 2003 году. На этой неделе CrowdStrike вместе с ФБР, Минюстом США, европейскими правоохранительными органами и Shadowserver провели операцию по фактической изоляции его инфраструктуры.
Почему понадобилось больше двух десятилетий?
Главная причина — архитектура.
Обычный ботнет можно представить как армию заражённых компьютеров, получающих команды от центрального сервера. Нашли сервер → отключили → управление армией потеряно.
Sality работал иначе.
Заражённые компьютеры общались друг с другом напрямую — по принципу peer-to-peer. Единого командного центра, который можно просто конфисковать, не было.
При этом Sality заражал исполняемые файлы и мог распространяться через сетевые ресурсы, съёмные носители и обмен файлами. Поэтому сеть фактически поддерживала сама себя.
На момент операции исследователи наблюдали более 33 тысяч заражённых машин по всему миру.
Сам Sality в последние годы использовался прежде всего как платформа доставки другого malware.
Один из payload — EggJagger — следил за буфером обмена. Если пользователь копировал адрес криптокошелька, malware незаметно заменял его адресом атакующего.
Человек нажимал «вставить» — и отправлял криптовалюту преступнику.
Но самое интересное — как Sality отключили.
Исследователи нашли слабость в самой P2P-архитектуре.
Боты доверяли другим участникам сети практически без проверки их личности. Защитники смогли войти в эту сеть как обычные узлы и постепенно подменить списки известных заражённым машинам соседей.
Настоящие управляющие узлы вытеснялись, а вместо них ботам передавались адреса специальных sinkhole-серверов исследователей.
В итоге с точки зрения оператора заражённые компьютеры начали просто исчезать.
Это красивый пример того, что в Threat Intelligence недостаточно только найти malware и выпустить сигнатуру.
Иногда эффективнее разобраться, как устроена инфраструктура противника, найти слабость уже в ней — и использовать архитектуру атакующего против него самого.
И есть ещё один важный момент.
Отключение ботнета не удаляет malware с заражённых компьютеров.
Оператор больше не может нормально ими управлять, но заражённые системы всё равно требуют очистки.
Получается интересный парадокс:
ботнет уже мёртв, а его боты — ещё нет.
#ThreatIntelligence #Botnet #Sality #Malware #ThreatHunting #Кибербезопасность Если у вас установлено приложение,
вы можете сразу перейти в канал