Ботнет прячет команды в картинки
Специалисты SecureWorks обнаружили зомби-сеть, которая маскирует инструкции от контролирующего центра под JPEG-файлы. К счастью, эта маскировка под картинки далеко не совершенна, так что вполне поддаётся "вычислению" защитными средствами.
Речь идёт о неком троянце, который в SecureWorks называют Monkif/DlKhora. Основное назначение этого вредоноса состоит в загрузке на зараженный компьютер других программ и их последующем запуске. Monkif также пытается отключать установленные на компьютере антивирусную защиту и файрвол.
Особый интерес представляет схема взаимодействия этого загрузочного трояна с контролирующим центром. Инструкции от него приходят в таком виде, словно это HTTP-сервер, возвращающий изображение в формате JPEG по запросу клиентской машины. В частности, они сопровождаются HTTP-заголовком с "Content-Type: image/jpeg", а также 32-байтным JPEG-заголовком. Бот мониторит входящий трафик и, распознав такой заголовок, декодирует оставшуюся часть сообщения.
Впрочем, несмотря на то, что задумана эта схема с некоторой долей фантазии, реализована она довольно топорно. Так, инструкции кодируются весьма примитивно: "исключающее или" с фиксированным однобайтовым ключом.
Да и маскировка под картинку тоже неидеальна. Даже данные о размере изображения в поддельном JPEG-заголовке не соответствуют самому "изображению"-инструкции. Это может быть использовано специалистами по киберзащите для отлавливания таких инструкций в общем трафике.
01.10.2009
http://www.webplanet.ru/news/security/2009/10/01/jpeg_botnet.html 29.09.2009
http://www.secureworks.com/research/blog/index.php/2009/9/29/monkifdlkhora-botnet-hiding-its-commands-as-jpeg-images/ |
