Rustock

Rustock

Rustock — руткит и ботнет, созданный на его базе. Rustock появился в 2006 году.[1] Ботнет функционировал до марта 2011 года.[2]

Поражались ПК с 32-битной ОС Microsoft Windows. С заражённых компьютеров рассылался спам, скорость его рассылки могла достигать 25 тыс. сообщений в час.[3][4] Ботнет rustock содержал от 150 тыс. до 2 миллионов заражённых компьютеров.

Содержание

История

Лаборатория Касперского полагает, что широкое распространение вируса Rustock началось 10 сентября 2007 года.[5]

В мае 2008 года вирус был обнаружен. Через несколько дней он распознавался несколькими антивирусами.[5]

В 2008 в связи с временным отключением хостинга McColo (Сан-Хосе, Калифорния), у которого была установлена часть серверов управления ботнетом, активность ботнета уменьшалась.[6]

Ботнет был разрушен 16 марта 2011[2] в рамках совместной операции «b107»[7], проведённой Microsoft, агентами федеральных правоохранительных органов, FireEye, и университетом Вашингтона.[8]

В мае 2011[9] года Microsoft заявляла, что к работе ботнета был причастен человек, использовавший никнейм «Cosma2k»[10]. Предположительно, часть организаторов ботсети находилась в России.[11]

В июне 2011 года Microsoft разместила в газетах «Деловой Петербург» и «Московские новости» обращение к создателям Rustock и уведомила их о судебном процессе над ними в окружном суде штата Вашингтон.[12]

За информацию о создателях вируса 18 июля 2011 года было объявлено крупное денежное вознаграждение.[12]

Внутреннее устройство

Каждый заражённый компьютер регулярно обращался к управляющим серверам. Взаимодействие с ними происходило при помощи протокола HTTP и запросов типа POST. Все данные дополнительно шифровались, по мнению компании Symantec при помощи алгоритма RC4. Сеанс обмена состоял из двух фаз: обмен ключами и передача инструкций. Обмен ключами происходил при обращении с скрипту login.php (клиент посылал 96 байт, отклик сервера 16 байт). Инструкции передавались скриптом data.php.[13]

Файл вируса состоит из:[13]

  • Модуля первичной деобсфукации размером 0x4AF байт
  • Загрузчика Rootkit (0x476 байт)
  • Кодов Rootkit.
  • Модуля отправки спама.

Загрузчик руткита использует функции ExAllocatePool, ZwQuerySystemInformation, ExFreePool, stricmp из ntoskrnl.exe.[13]

Вариации

Были найдены также 3 вариации вируса Rustock:

  • Вариант Rustock.С1 — создан 10 сентября 2007 года.
  • Вариант Rustock.С2 — создан 26 сентября.
  • Варианты C3 и С4 — созданы 9-10 октября 2007.

Примечания

  1. ↑ Chuck Miller The Rustock botnet spams again. SC Magazine US (25 июля 2008). Архивировано из первоисточника 15 августа 2012. Проверено 21 апреля 2010.
  2. ↑ 1 2 Hickins, Michael. Prolific Spam Network Is Unplugged, Wall Street Journal (17 марта 2011). Проверено 17 марта 2011.
  3. ↑ Real Viagra sales power global spam flood - Techworld.com. News.techworld.com. Архивировано из первоисточника 15 августа 2012. Проверено 21 апреля 2010.
  4. ↑ Rustock: M86 Security
  5. ↑ 1 2 «Rustock и все-все-все» (securelist.com)
  6. ↑ http://www.theregister.co.uk/2008/11/18/short_mccolo_resurrection/ Dead network provider arms Rustock botnet from the hereafter. McColo dials Russia as world sleeps]
  7. ↑ Williams, Jeff Operation b107 - Rustock Botnet Takedown. Архивировано из первоисточника 15 августа 2012. Проверено 27 марта 2011.
  8. ↑ Wingfield, Nick. Spam Network Shut Down, Wall Street Journal (18 марта 2011). Проверено 18 марта 2011.
  9. ↑ Rustock Botnet Suspect Sought Job at Google — Krebs on Security
  10. ↑ Microsoft turns Rustock botnet case over to the FBI "According to CNET, Cosma2k is the ringleader of the Rustock botnet"
  11. ↑ «Microsoft: следы организаторов бот-сети Rustock ведут в Россию» // CyberSecurity.ru "в корпорации сообщили, что по крайней мере часть операторов Rustock находится в России. "
  12. ↑ 1 2 Microsoft обещает $250 тыс. за данные о «русском боте»
  13. ↑ 1 2 3 A Case Study of the Rustock Rootkit and Spam Bot // HotBots

Ссылки


ПО
 Просмотр этого шаблона Вредоносное программное обеспечение
Инфекционное вредоносное ПО Компьютерный вирус (список) · Сетевой червь (список) · Троянская программа · Загрузочный вирус · Хронология
Методы сокрытия Бэкдор · Компьютер-зомби · Руткит
Вредоносные программы
для прибыли		 Adware · Privacy-invasive software · Ransomware (Trojan.Winlock) · Spyware · Бот · Ботнет · Веб-угрозы · Кейлогер · Формграббер  · Scareware (Лжеантивирус) · Порнодиалер
По операционным системам Вредоносное ПО для Linux · Вирусы для Palm OS · Макровирус · Мобильный вирус
Защита Defensive computing · Антивирусная программа · Межсетевой экран · Система обнаружения вторжений · Предотвращение утечек информации · Хронология антивирусов
Контрмеры Anti-Spyware Coalition · Computer surveillance · Honeypot · Operation: Bot Roast

Wikimedia Foundation. 2010.

Игры ⚽ Нужна курсовая?

Полезное


Смотреть что такое "Rustock" в других словарях:

  • Rustock — était un botnet en activité de 2006 à mars 2011, période à laquelle il fut démantelé. Il infectait les PC (Personal Computer) équipés de Windows, et était capable d envoyer 25 000 spams par heure via un PC infecté. Au plus fort de son… …   Wikipédia en Français

  • Botnet — Un botnet est un ensemble de bots informatiques qui sont reliés entre eux. Historiquement, ce terme s est d abord confondu avec des robots IRC (bien que le terme ne se limitait pas à cet usage spécifique), qui était un type de botnet particulier… …   Wikipédia en Français

  • Donbot botnet — Donbot, also known by its aliases Buzus and Bachsoy,[1] is a botnet mostly involved in sending pharmaceutical and stock based e mail spam.[2][3] The Donbot botnet is thought to consist of roughly 125,000 individual computers,[2] which combined… …   Wikipedia

  • Botnet — Ablauf der Entstehung und Verwendung von Botnetzen: 1. Infizierung ungeschützter Computer, 2. Eingliederung in das Botnet, 3. Botnetbetreiber verkauft Dienste des Botnets, 4./5. Ausnutzung des Botsnets, etwa für den Versand von Spam Ein Botnet… …   Deutsch Wikipedia

  • Хронология компьютерных вирусов и червей — Здесь приведён хронологический список появления некоторых известных компьютерных вирусов и червей, а также событий, оказавших серьёзное влияние на их развитие. Содержание 1 2012 2 2011 3 2010 4 2009 …   Википедия

  • McColo — Effect of McColo takedown on spam volumes, from SpamCop. McColo was a San Jose based web hosting service provider.[1] In late 2008, the company was shut down by the two upstream providers, Global Crossing and Hurrican …   Wikipedia

  • Timeline of computer viruses and worms — Contents 1 1960–1969 1.1 1966 2 1970–1979 2.1 1 …   Wikipedia

  • Timeline of notable computer viruses and worms — This is a timeline of noteworthy computer viruses and worms.1970 1979Early 1970s* Creeper virus was detected on ARPANET infecting the Tenex operating system. Creeper gained access independently through a modem and copied itself to the remote… …   Wikipedia

  • Storm botnet — The typical lifecycle of spam that originates from a botnet: (1) Spammer s web site (2) Spammer (3) Spamware (4) Infected computers (5) Virus or trojan (6) Mail servers (7) Users (8) Web traffic The Storm… …   Wikipedia

  • Srizbi botnet — The Srizbi botnet, also known by its aliases of Cbeplay and Exchanger, is the world s largest or second largest botnet depending on expert reports, and is responsible for sending out more than half of all the spam being sent by all the major… …   Wikipedia


Поделиться ссылкой на выделенное

Прямая ссылка:
… Нажмите правой клавишей мыши и выберите «Копировать ссылку»