Episode 40: Pushdo
โปรแกรมโทรจันแบบ Pushdo เริ่มตั้งแต่ต้นปี 2007 และใช้เพื่อแจกจ่ายภัยคุกคามมัลแวร์อื่น ๆ เช่น Zeus และ SpyEye นอกจากนี้ยังมีโมดูลสแปมของตัวเองซึ่งรู้จักกันในนาม Cutwail ซึ่งเป็นผู้รับผิดชอบโดยตรงต่อการเข้าชมสแปมเป็นประจำทุกวันของโลก
อุตสาหกรรมด้านความปลอดภัยพยายามปิดระบบ botnet Pushdo / Cutwail สี่ครั้งในช่วงสุดท้าย ห้าปี แต่ความพยายามเหล่านั้นส่งผลให้เกิดการหยุดชะงักชั่วคราวเท่านั้น
ในเดือนมีนาคมนักวิจัยด้านความปลอดภัยจาก Damballa ได้ระบุรูปแบบการเข้าใช้งานที่เป็นอันตรายใหม่และสามารถติดตามพวกเขากลับมาได้ เป็นรูปแบบใหม่ของมัลแวร์ Pushdo
"ตัวแปรล่าสุดของ PushDo จะเพิ่มมิติข้อมูลอีกโดยการใช้โดเมนเนมกับอัลกอริธึมการสร้างโดเมน (Domain Generation Algorithms - DGAs) เป็นกลไก fallback ในวิธีการสื่อสารและการควบคุมและการควบคุมแบบปกติ (C & C) "นักวิจัยของ Damballa กล่าวในบล็อกโพสต์มัลแวร์สร้างรายชื่อโดเมนที่ไม่ซ้ำกันกว่า 1,000 ชื่อต่อวันและเชื่อมต่อกับพวกเขาหากไม่สามารถเข้าถึงเซิร์ฟเวอร์ C & C แบบฮาร์ดโค้ดได้ เนื่องจากผู้โจมตีทราบว่าอัลกอริธึมทำงานอย่างไรพวกเขาสามารถลงทะเบียนโดเมนเหล่านี้ล่วงหน้าและรอให้บอทเชื่อมต่อเพื่อส่งคำแนะนำใหม่
เทคนิคนี้มีวัตถุประสงค์เพื่อทำให้นักวิจัยด้านความปลอดภัยปิดตัวลง เซิร์ฟเวอร์คำสั่งและควบคุมของ botnet หรือผลิตภัณฑ์รักษาความปลอดภัยเพื่อป้องกันการเข้าชม C & C
"PushDo เป็นกลุ่มมัลแวร์รายใหญ่อันดับ 3 ที่ Damballa ได้สังเกตเห็นใน 18 เดือนที่ผ่านมาเพื่อหันไปใช้เทคนิค DGA เพื่อสื่อสารกับ C & C ของตน "นักวิจัยของ Damballa กล่าว "ตัวแปรของกลุ่มมัลแวร์ ZeuS และมัลแวร์ TDL / TDSS ยังใช้ DGA ในวิธีการหลีกเลี่ยงของพวกเขา"
นักวิจัยจาก Damballa, Dell SecureWorks และสถาบันเทคโนโลยีแห่งจอร์เจียทำงานร่วมกันเพื่อตรวจสอบรูปแบบใหม่ของมัลแวร์และวัดผลกระทบ การค้นพบของพวกเขาถูกตีพิมพ์ในรายงานฉบับเดียวที่เผยแพร่เมื่อวันพุธ
นอกเหนือจากการใช้เทคนิค DGA แล้วเวอร์ชันล่าสุดของ Pushdo ยังสอบถามเว็บไซต์ที่ถูกต้องกว่า 200 เว็บไซต์อย่างสม่ำเสมอเพื่อที่จะผสมผสานการเข้าชม C & C เข้ากับการเข้าชมที่ดูปกติ นักวิจัยกล่าวว่าในระหว่างการสืบสวนได้มีการจดทะเบียนชื่อโดเมน 42 ชื่อโดย DGA ของ Pushdo และได้มีการตรวจสอบคำขอที่ได้รับเพื่อตรวจสอบขนาดของบ็อตเน็ต
"ในช่วงเกือบสองเดือน, เราสังเกตเห็น 1,038,915 IP ที่ไม่ซ้ำกันที่โพสต์ข้อมูลไบนารีของ C & C ลงในหลุมฝังศพของเรา "นักวิจัยกล่าวในรายงานของพวกเขา จำนวนรายวันอยู่ระหว่าง 30,000 ถึง 40,000 ที่อยู่ IP (Internet Protocol) ที่ไม่ซ้ำกันพวกเขากล่าวว่า
ประเทศที่มีจำนวนเชื้อสูงสุดคืออินเดียอิหร่านและเม็กซิโกตามข้อมูลที่เก็บรวบรวม จีนซึ่งโดยปกติจะอยู่ที่ด้านบนของรายการสำหรับการติดไวรัส botnet อื่น ๆ จะไม่ได้อยู่ในอันดับที่สิบในขณะที่สหรัฐฯอยู่ในอันดับที่หกเท่านั้น
มัลแวร์ Pushdo มีการแพร่กระจายผ่านทางไดรฟ์โดยการโจมตีดาวน์โหลด - เว็บ นักวิจัยกล่าวว่า "การโจมตีแบบใช้ฐานข้อมูลซึ่งใช้ช่องโหว่ในปลั๊กอินของเบราว์เซอร์หรือติดตั้งโดย botnets อื่นเป็นส่วนหนึ่งของแผนการจ่ายต่อการติดตั้งโดยอาชญากรไซเบอร์"
เนื่องจากซอฟต์แวร์ตรวจสอบของ Microsoft ทำงานบนคอมพิวเตอร์หลายร้อยล้านเครื่องทั่วโลกซึ่งรวมถึงซอฟต์แวร์ที่ไม่ได้ใช้งานซอฟต์แวร์ป้องกันไวรัสที่ทันสมัยอยู่เสมอ ย้ายเช่นนี้สามารถนำ botnet ไปที่หัวเข่าของ นั่นคือสิ่งที่เกิดขึ้นในเดือนกันยายนปี 2007 เมื่อ Microsoft เพิ่มการตรวจหา Storm Worm botnet ผู้เชี่ยวชาญกล่าวว่าในระยะเวลา 24 ชั่วโมงไวรัสดังกล่าวได้กำจัดไวรัส Storm Storm ออกไปประมาณ 91,000 รายและในไม่ช้า botnet ก็เป็นเงาของตัวเองก่อนผู้เชี่ยวชาญกล่าวว่า
อย่างไรก็ตาม [ ไม่น่าตื่นเต้นมากเลยคราวนี้ เมื่อเดือนพฤศจิกายนที่ผ่านมา Srizbi ได้รับผลกระทบจากการกระทำเมื่อผู้ให้บริการอินเทอร์เน็ตของ McColo ในซานโฮเซ่แคลิฟอร์เนียถูกสั่งให้ปิดการใช้งานอินเทอร์เน็ต
คุณทำอย่างไร สิ่งเลวร้ายยิ่งแย่ลง? หากคุณเป็นคนโกงที่ใช้ Botnet ซึ่งเป็นเครือข่ายคอมพิวเตอร์ที่ติดไวรัสมัลแวร์บ่อยครั้งคุณจะเชื่อมโยง botnet เข้าด้วยกันเพื่อสร้าง botnet ที่ใหญ่โต และคุณทำอย่างนั้นในทางที่ยากสำหรับชุดป้องกันไวรัสที่จะต่อสู้ Botnetwebs ไม่เพียง แต่ช่วยให้ Crooks สามารถส่งสแปมหรือมัลแวร์ไปยังคอมพิวเตอร์หลายล้านเครื่องพร้อมกันได้ นอกจากนี้ยังแสดงการติดเชื้อที่ยืดหยุ่นสูงซึ่งใช้ไฟล์หลายไฟล์ ความพยายามในการฆ่าเชื้อโรคอาจจะกำจัดไฟล์บางส่วน แต่ผู้ที่ทิ้งไว้เบื้องหลังมักจะ redownload คน
ผู้ร้าย "ไม่ใช่กลุ่มของ Nerds ที่นั่งอยู่ในห้องมืด ๆ ที่พัฒนา botnet เหล่านี้เพื่อความสนุก" เขียน Atif Mushtaq จาก FireEye, Milpitas, California, บริษัท รักษาความปลอดภัยที่กำหนดชื่อ
Twitter ใช้เพื่อจัดการ Botnet ผู้เชี่ยวชาญด้านความปลอดภัยกล่าวว่า ที่ใช้ Twitter เป็นโครงสร้างคำสั่งและการควบคุมได้ถูกพบโดยนักวิจัยด้านความปลอดภัย
นักวิจัยด้านความปลอดภัยพบว่าแฮกเกอร์ใช้ Twitter เป็นเครื่องมือในการแจกจ่ายคำสั่งไปยังเครือข่ายคอมพิวเตอร์ที่ถูกบุกรุกหรือที่เรียกว่า botnet